当攻击者已经取得 Linux root 权限、建立持久化并可能横向移动或外传数据，应该如何控制局面？本文围绕隔离、易失证据采集、攻击链调查、木马自动重启、横向移动、数据外传和影响面确认，给出一套可执行的 Linux 应急排查流程。

拿到内存镜像后应该先查什么？本文用一条完整调查链讲清 Volatility 3，覆盖 Windows 与 Linux 的进程、网络、文件、Rootkit 和恶意代码排查。