搜索

[21062] 2020-06-06_HW防守之日志分析二

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-06-06_HW防守之日志分析二 H W 防 守 之 日 志 分 析   二 L e m o n S e c   2 0 2 0 - 0 6 - 0 6 转 载 自 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 2 0 6 3 5 2 . h t m l 笔 者 都 是 作 为 C T F 解 题 思 路 来 讲 述 的 日 志 分 析 方 式 ， 其 实 在 真 实 的 网 络 攻 击 中 ， 日 志 分 析 方 式 大 同 小 异 ， 这 里 引 荐 笔 者 的 文 章 。 上 期 为 大 家 介 绍 了 攻 击 取 证 之 日 志 分 析 （ 一 ） 中 的 W e b 日 志 分 析 ， 因 此 本 期 将 给 大 家 带 来 系 统 的 日 志 分 析 。 众 所 周 知 ， 操 作 系 统 有 很 多 ， 但 是 市 面 上 一 般 比 较 主 流 的 操 作 系 统 有 W i n d o w s 、 L i n u x 以 及 M a c 。 其 中 比 较 常 见 的 还 是 W i n d o w s 以 及 L i n u x ， M a c 毕 竟 价 格 有 些 高 昂 。 在 比 赛 中 ， 系 统 日 志 分 析 的 题 目 更 是 少 之 又 少 ， 但 有 时 也 会 结 合 在 一 些 其 他 的 题 目 中 ， 因 此 了 解 一 下 也 是 必 要 的 。 接 下 来 ， 斗 哥 将 从 L i n u x 和 W i n d o w s 的 系 统 日 志 进 行 讲 解 。 L i n u x 操 作 系 统 操 作 系 统 L i n u x 的 系 统 日 志 一 般 存 放 在 / v a r / l o g 目 录 下 ， 常 见 的 日 志 （ 列 举 部 分 ） 有 以 下 ： ●     / v a r / l o g / m e s s a g e s 用 于 记 录 系 统 相 关 信 息 ， 如 执 行 程 序 、 系 统 错 误 、 启 动 信 息 等 ， 一 般 我 们 会 使 用 m e s s a g e 进 行 查 看 可 疑 程 序 执 行 的 可 疑 操 作 ， 系 统 在 执 行 程 序 时 出 现 错 误 等 ， 具 体 日 志 信 息 如 下 ：
对 应 的 格 式 ： 日 期   时 间   主 机   执 行 的 程 序 [ 进 程 I D ] ： 具 体 信 息 ●     / v a r / l o g / b o o t . l o g 用 于 记 录 系 统 启 动 信 息 的 日 志 ， 一 般 用 于 查 看 在 系 统 启 动 时 所 有 相 关 信 息 ， 具 体 如 下 ： 不 难 发 现 ， 该 日 志 记 录 的 是 系 统 启 动 时 的 启 动 信 息 ， 比 如 开 启 了 哪 些 服 务 、 做 了 什 么 操 作 都 能 一 目 了 然 。 ●     / v a r / l o g / l a s t l o g 用 于 记 录 了 用 户 近 期 登 陆 情 况 ， 直 接 查 看 l a s t l o g ， 可 能 信 息 不 太 明 显 ， 但 是 也 可 以 使 用 l a s t l o g 命 令 进 行 查 看 ， 会 比 较 详 细 ：
从 上 图 中 可 以 看 出 ， r o o t 用 户 在 5 月 2 6 日 2 3 ： 2 3 ： 4 2 登 陆 到 终 端 ， I P 为 1 9 2 . 1 6 8 . 1 5 3 . 1 。 ●     / v a r / l o g / c r o n L i n u x 的 计 划 任 务 相 关 信 息 的 日 志 ， 我 们 也 会 使 用 它 来 找 寻 攻 击 者 可 能 会 写 入 的 一 些 恶 意 计 划 任 务 ， 其 中 可 能 会 带 有 一 些 恶 意 软 件 等 相 关 信 息 。 斗 哥 特 意 在 计 划 中 添 加 了 一 个 f l a g ， 通 过 c r o n 日 志 我 们 可 以 很 明 显 的 看 到 ， 有 个 f l a g ， 当 然 在 真 实 环 境 或 者 是 C T F 比 赛 中 ， 当 然 不 会 这 么 简 单 ， 但 是 基 本 上 我 们 排 查 问 题 思 路 也 是 如 此 。
●     / v a r / l o g / s e c u r e 此 日 志 是 l i n u x   的 安 全 日 志 ， 被 用 于 记 录 用 户 工 作 的 安 全 相 关 问 题 以 及 登 陆 认 证 情 况 ， 如 ： 不 难 发 现 ， 上 面 记 录 了 一 些 服 务 如 p o l k i t d 、 l o g i n 、 s s h d 等 ， 无 论 成 功 与 否 ， 均 会 被 记 录 到 此 日 志 中 ， 有 时 我 们 也 可 以 通 过 它 来 判 断 服 务 器 是 否 被 攻 击 （ 如 暴 力 破 解 、 调 用 一 些 系 统 方 法 等 ） ， 以 下 举 个 被 爆 破 之 后 的 日 志 ：
可 以 从 上 图 中 很 容 易 发 现 该 服 务 器 正 在 被 I P 为 1 9 2 . 1 6 8 . 1 5 3 . 1 6 7 的 攻 击 机 在 短 时 间 内 对 r o o t 用 户 进 行 多 次 尝 试 s s h 登 录 。 讲 完 L i n u x ， 就 得 讲 一 讲 W i n d o w s 了 ， W i n d o w s 大 家 肯 定 比 较 熟 悉 ， 因 为 我 们 现 在 的 笔 记 本 也 基 本 都 是 W i n d o w s 操 作 系 统 ， 但 是 说 起 查 日 志 ， 可 能 还 是 相 对 比 较 少 ， 但 在 W i n d o w s 服 务 器 中 ， 日 志 还 是 挺 关 键 的 ， 确 切 的 说 不 管 在 什 么 操 作 系 统 中 ， 日 志 都 是 很 重 要 的 。 话 不 多 说 ， 开 始 和 大 家 一 起 分 析 分 析 W i n d o w s 日 志 。 W i n d o w s 操 作 系 统 操 作 系 统 W i n d o w s 日 志 一 般 在 事 件 查 看 器 中 可 以 进 行 查 看 ， 通 常 分 为 五 个 ： 应 用 程 序 、 安 全 、 S e t u p 、 系 统 、 转 发 事 件 。 并 且 这 五 个 中 又 以 应 用 程 序 、 安 全 以 及 系 统 日 志 较 为 常 见 ， 因 此 在 本 期 中 ， 将 介 绍 这 三 个 。 ●   应 用 程 序 日 志 应 用 程 序 日 志 此 日 志 顾 名 思 义 便 是 记 录 了 应 用 程 序 的 运 行 情 况 ， 包 括 运 行 出 错 、 甚 至 于 出 错 的 原 因 ， 如 ：
它 指 出 了 错 误 应 用 程 序 名 称 、 版 本 、 具 体 时 间 错 ， 并 且 还 指 出 了 错 误 的 模 块 以 及 异 常 代 码 ， 故 而 ， 我 们 可 以 通 过 这 些 信 息 ， 进 行 对 应 的 故 障 排 查 ， 具 体 如 何 排 查 可 通 过 适 当 的 资 料 等 进 行 ， 斗 哥 在 此 便 不 做 过 多 说 明 ， 需 要 提 的 是 它 在 W i n d o w s 中 保 存 在 A p p l i c a t i o n . e v t x 文 件 中 ， 如 果 在 C T F 比 赛 中 ， 看 到 这 个 文 件 ， 那 么 可 能 就 是 让 你 进 行 应 用 程 序 日 志 分 析 了 。 ●   安 全 日 志 安 全 日 志 此 处 的 安 全 日 志 和 L i n u x 的 安 全 日 志 相 似 ， 但 是 它 只 记 录 用 户 登 陆 情 况 、 用 户 访 问 时 间 以 及 访 问 是 否 授 权 等 ， 通 过 它 我 们 可 以 轻 松 的 发 现 是 否 存 在 爆 破 风 险 （ 一 般 在 短 时 间 内 发 现 大 量 登 陆 失 败 ， 即 可 认 为 该 账 号 被 爆 破 了 ） 。 上 图 显 示 的 是 正 常 的 日 志 ， 并 且 它 所 给 的 信 息 也 非 常 详 细 （ 以 一 个 登 陆 失 败 为 例 ） 。
它 详 细 到 可 以 发 现 使 用 者 信 息 、 登 陆 类 型 、 登 陆 失 败 的 账 户 、 失 败 信 息 、 进 程 信 息 、 内 网 信 息 以 及 详 细 身 份 验 证 信 息 等 ， 十 分 方 便 。 它 在 操 作 系 统 中 保 存 在 S e c u r i t y . e v t x 文 件 下 ， 我 们 也 可 以 通 过 双 击 它 打 开 安 全 日 志 。 ●   系 统 日 志 系 统 日 志 系 统 日 志 则 是 记 录 了 操 作 系 统 安 装 的 应 用 程 序 软 件 相 关 的 事 件 。 它 包 括 了 错 误 、 警 告 及 任 何 应 用 程 序 需 要 报 告 的 信 息 等 。
相 比 于 L i n u x   的 日 志 ， W i n d o w s 对 于 系 统 日 志 的 记 录 ， 也 是 挺 详 细 的 ， 我 们 可 以 通 过 它 来 进 行 一 些 分 析 判 断 ， 它 存 在 于 S y s t e m . e v t x 文 件 中 。 本 期 小 结 本 期 小 结 本 期 的 日 志 分 析 就 介 绍 到 此 ， 主 要 为 系 统 日 志 分 析 ， 这 在 分 析 取 证 中 还 是 蛮 重 要 的 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理