Lors d'enquêtes après piratages, 

des informations peuvent se trouver dans les endroits les plus inhabituels :
fichier .bash_history
fichier core
$ file core
            core: ELF 32-bit LSB core file of 'traceroute' (signal 3), Intel 80386, version 1, from 'traceroute'

$strings core
            ../../../../../../../../../../../../../../../../../../../../../../../../
            caractéristique d'une variable d'environnement trop grande.

            SSH_CLIENT=Adresse_IP_du_script-kiddie

Chercher les journaux là ou ils sont disponibles
FAI