文章总结： 司稽(Whoamifuck)是一款由shell编写的Linux应急响应脚本工具，提供系统基本信息查看、登录信息分析、进程服务检查、端口状态监控、系统状态评估、基线安全评估、漏洞检测、后门检测和webshell查找等功能。该工具支持主流Linux发行版，需要root权限运行，可将结果导出为文件或HTML格式，是Linux系统安全检查和应急响应的实用工具。
综合评分： 75
文章分类： 应急响应,安全工具,漏洞分析,系统安全,终端安全

【应急响应工具教程】司稽（Whoamifuck）：纯Shell打造的Linux应急响应利器

solar应急响应团队

2025年7月22日 17:04
中国香港

1、工具简介

司稽（Whoamifuck或Chief-Inspector,简称”who”），永恒之锋发布的第一款开源工具，这是一款由shell编写的Linux应急响应脚本，能对基本的检查项进行输出和分析，并支持一些扩展的特色功能。

2、功能介绍

使用方法:

&nbsp; &nbsp; &nbsp; &nbsp; -v&nbsp;--version &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 版本信息
&nbsp; &nbsp; &nbsp; &nbsp; -h&nbsp;--help &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;帮助指南

&nbsp; QUICK
&nbsp; &nbsp; &nbsp; &nbsp; -u&nbsp;--user-device &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 查看设备基本信息
&nbsp; &nbsp; &nbsp; &nbsp; -l&nbsp;--login [FILEPATH] &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;用户登录信息 [default:/var/log/secure;/var/log/auth.log]
&nbsp; &nbsp; &nbsp; &nbsp; -n&nbsp;--nomal &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 基本输出模式
&nbsp; &nbsp; &nbsp; &nbsp; -a&nbsp;--all &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 全量输出模式

&nbsp; SPECIAL
&nbsp; &nbsp; &nbsp; &nbsp; -x&nbsp;--proc-serv &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 检查用户进程与开启服务状态
&nbsp; &nbsp; &nbsp; &nbsp; -p&nbsp;--port &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;查看端口开放状态
&nbsp; &nbsp; &nbsp; &nbsp; -s&nbsp;--os-status &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 查看系统状态信息

&nbsp; RISK
&nbsp; &nbsp; &nbsp; &nbsp; -b&nbsp;--baseline &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;基线安全评估
&nbsp; &nbsp; &nbsp; &nbsp; -r&nbsp;--risk &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;查看系统可能存在的漏洞
&nbsp; &nbsp; &nbsp; &nbsp; -k&nbsp;--rookitcheck &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 检测系统可能存在的后门
&nbsp; &nbsp; &nbsp; &nbsp; -w&nbsp;--webshell [PATH] &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 查找可能存在的webshell文件 [default:/var/www/;/www/wwwroot/..]

&nbsp; MISC
&nbsp; &nbsp; &nbsp; &nbsp; -c&nbsp;--code [URL|FILE] &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 页面存活探测
&nbsp; &nbsp; &nbsp; &nbsp; -i&nbsp;--sqletlog [FILE] &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 日志分析-SQL注入专业分析
&nbsp; &nbsp; &nbsp; &nbsp; -e&nbsp;--auto-run [0-23 0-59|c] &nbsp; &nbsp;加入到定时运行计划 [default:~/.whok/chief-inspector.conf]
&nbsp; &nbsp; &nbsp; &nbsp; -z&nbsp;--ext [PATH] &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;自定义命令配置测试 [default:~/.whok/chief-inspector.conf]

&nbsp; OUTPUT
&nbsp; &nbsp; &nbsp; &nbsp; -o&nbsp;--output [FILENAME] &nbsp; &nbsp; &nbsp; &nbsp; 导出全量输出模式文件
&nbsp; &nbsp; &nbsp; &nbsp; -m&nbsp;--html [FILENAME] &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 导出全量输出模式HTML文件

3、下载与安装

https://github.com/enomothem/Whoamifuck。

4、使用教程

下载方法：

git clone https://github.com/enomothem/Whoamifuck.git
cd Whoamifuck
chmod +x whoamifuck.sh

可根据自身需求，输入对应参数获取相关信息：

功能截图：

生成报告截图：

5、工具补充说明

工具兼容性方面：

操作系统：支持主流Linux发行版（Ubuntu、Debian、CentOS等）。
权限要求：需要root权限。

6、注意事项

脚本需要root权限才能收集完整信息。
部分命令在不同发行版中可能不可用，返回找不到对应路径下文件。
建议定期更新规则库以适应新的安全威胁。

以下是solar安全团队近期处理过的常见勒索病毒后缀：

勒索攻击作为成熟的攻击手段，很多勒索家族已经形成了一套完整的商业体系，并且分支了很多团伙组织，导致勒索病毒迭代了多个版本。而每个家族擅用的攻击手法皆有不同，TellYouThePass勒索软件家族常常利用系统漏洞进行攻击；Phobos勒索软件家族通过RDP暴力破解进行勒索；Mallox勒索软件家族利用数据库及暴力破解进行加密，攻击手法极多防不胜防。

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2024/12/12 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第二篇-流量致盲，无声突破 |
| 2024/12/11 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第一篇-驱动漏洞一击致命 |

而最好的预防方法就是针对自身业务进行定期的基线加固、补丁更新及数据备份，在其基础上加强公司安全人员意识。

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2024/06/27 | 【教程分享】勒索病毒来袭！教你如何做好数据防护 |
| 2024/06/24 | 【教程分享】服务器数据文件备份教程 |

案例介绍篇聚焦于真实的攻击事件，还原病毒家族的攻击路径和策略，为用户提供详细的溯源分析和防护启示；

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2024/06/27 | 【案例介绍】赎金提高，防御失效：某上市企业两年内两度陷入同一勒索团伙之手 |
| 2024/01/26 | 【成功案例】某集团公司的Phobos最新变种勒索病毒jopanaxye解密恢复项目 |
| 2024-03-13 | 【成功案例】某集团公司的Phobos最新变种勒索病毒2700解密恢复项目 |
| 2024-04-01 | 【成功案例】间隔数月双团伙先后利用某ERP0day实施入侵和勒索的解密恢复项目 |
| 2024-04-26 | 【成功案例】利用多款国产内网渗透工具勒索数十台虚拟机的babyk解密恢复项目 |
| 2024-05-17 | 【成功案例】RDP暴露引发的蝴蝶效应：LockBit组织利用MSF工具及永恒之蓝漏洞进行勒索入侵 |
| 2024-11-28 | 【成功案例】lockbit家族百万赎金不必付！技术手段修复被加密的数据库，附溯源分析报告 |

漏洞与预防篇侧重于技术层面的防御手段，针对病毒利用的漏洞和安全弱点，提出操作性强的应对方案：

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2025/01/08 | 【漏洞与预防】RDP弱口令漏洞预防 |
| 2025/01/21 | 【漏洞与预防】MSSQL数据库弱口令漏洞预防 |
| 2025/02/18 | 【漏洞与预防】远程代码执行漏洞预防 |
| 2025/04/10 | 【漏洞与预防】Atlassian Confluence存在远程代码执行漏洞 |
| 2025/04/17 | 【漏洞与预防】畅捷通文件上传漏洞预防 |
| 2025/05/27 | 【漏洞与预防】Microsoft Windows 文件资源管理器欺骗漏洞预防 |

应急响应工具教程篇重点分享应急响应过程中常用工具的安装、配置与使用说明，旨在帮助读者快速掌握这些工具的操作流程与技巧，提高其在实际应急场景中的应用熟练度与效率。

如果您想了解有关勒索病毒的最新发展情况，或者需要获取相关帮助，请关注“solar专业应急响应团队”。

全国热线| 400-613-6816

更多资讯| 扫码加入群组交流

喜欢此内容的人还喜欢

索勒安全团队

【紧急通告】Outlook公布高危漏洞CVE‑2025‑47176，攻击者可远程执行代码！

索勒安全团队

【应急响应工具教程】Linux应急响应工具集：一键式安全评估与可视化报告系统索勒安全团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队《【应急响应工具教程】司稽（Whoamifuck）：纯Shell打造的Linux应急响应利器》

Tags: 安全工具应急响应漏洞分析终端安全

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

【应急响应工具教程】司稽（Whoamifuck）：纯Shell打造的Linux应急响应利器

1、工具简介

2、功能介绍

3、下载与安装

4、使用教程

5、工具补充说明

6、注意事项

【应急响应工具教程】Linux应急响应工具集：一键式安全评估与可视化报告系统 索勒安全团队

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

【应急响应工具教程】Linux应急响应工具集：一键式安全评估与可视化报告系统索勒安全团队