搜索

[21577] 2021-01-07_攻防演练之蓝队视角下的Linux信息收集

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-07_攻防演练之蓝队视角下的Linux信息收集 攻 防 演 练 之 蓝 队 视 角 下 的 L i n u x 信 息 收 集 江 苏 智 慧 安 全   L e m o n S e c   2 0 2 1 - 0 1 - 0 7 前 言 前 言 上 一 篇   红 队 视 角 下 L i n u x 信 息 收 集   我 们 谈 到 红 队 是 以 提 权 和 后 渗 透 为 主 要 目 的 而 进 行 的 信 息 收 集 ， 本 次 谈 一 谈 在 蓝 队 应 急 响 应 中 L i n u x 系 统 下 比 较 关 键 的 内 容 。 日 志 日 志 L i n u x 系 统 的 日 志 功 能 非 常 强 大 且 完 善 ， 几 乎 可 以 保 存 所 有 的 操 作 记 录 ， 蓝 队 的 信 息 收 集 主 要 就 是 针 对 日 志 的 信 息 收 集 ， 先 从 系 统 自 身 的 日 志 来 说 起 。 系 统 上 跑 了 很 多 程 序 ， 那 么 每 个 程 序 都 会 有 相 应 的 日 志 产 生 ， 而 这 些 日 志 就 被 记 录 到 这 个 目 录 下 ， 具 体 在   / v a r / l o g 目 录 下 / v a r / l o g   下 存 放 着 各 种 程 序 的   L o g   文 件 ， 特 别 是   l o g i n   ( / v a r / l o g / w t m p   l o g   所 有 到 系 统 的 登 录 和 注 销 )   和   s y s l o g ( / v a r / l o g / m e s s a g e s   里 存 储 所 有 核 心 和 系 统 程 序 信 息 .   / v a r / l o g   里 的 文 件 经 常 不 确 定 地 增 长 ， 应 该 定 期 清 除 . 还 有 其 中 几 个 比 较 常 用 的 日 志 文 件 : • / v a r / l o g / d m e s g   :   核 心 启 动 日 志 ， 系 统 启 动 时 会 在 屏 幕 显 示 与 硬 件 有 关 的 信 息 ， 这 些 信 息 会 保 存 在 这 个 文 件 里 面 . • / v a r / l o g / s p o o l e r   :   U U C P   和   n e w s   设 备 相 关 的 日 志 信 息 • / v a r / l o g / c r o n   :   与 定 时 任 务 相 关 的 日 志 信 息 • / v a r / l o g / b t m p   :   记 录 错 误 登 录 日 志 , 这 个 文 件 是 二 进 制 文 件 , 可 以 使 用   l a s t b   命 令 查 看 • / v a r / l o g / b o o t   :   系 统 引 导 日 志 • / v a r / l o g / l a s t l o g   :   记 录 系 统 中 所 有 用 户 最 后 一 次 登 录 时 间 的 日 志 ， 这 个 文 件 是 二 进 制 文 件 ， 可 以 使 用   l a s t l o g   命 令 查 看 • / v a r / l o g / m a i l o g   :   记 录 邮 件 信 息 内 核 及 系 统 日 志 内 核 及 系 统 日 志 内 核 为 2 . 6 . 1 8 时 候 使 用 的 是   s y s l o g   服 务 注 :   内 核 为 2 . 6 . 3 2 以 后   s y s l o g   被 命 名 为   r s y s l o g ， 所 以 配 置 文 件 名 称 也 不 一 样
这 种 日 志 由   s y s l o g   统 一 管 理 ， 根 据 其 主 配 置 文 件   / e t c / s y s l o g . c o n f   中 的 设 置 决 定 将 内 核 消 息 及 各 种 系 统 程 序 消 息 记 录 到 什 么 位 置 。 用 户 日 志 ： 这 种 日 志 数 据 用 于 记 录   L i n u x   系 统 用 户 登 录 及 退 出 系 统 的 相 关 信 息 ， 包 括 用 户 名 、 登 录 的 终 端 、 登 录 时 间 、 来 源 主 机 、 正 在 使 用 的 进 程 操 作 等 。 程 序 日 志 ： 有 些 应 用 程 序 运 会 选 择 自 己 来 独 立 管 理 一 份 日 志 文 件 （ 而 不 是 交 给   s y s l o g   服 务 管 理 ） ， 用 于 记 录 本 程 序 运 行 过 程 中 的 各 种 事 件 信 息 。 由 于 这 些 程 序 只 负 责 管 理 自 己 的 日 志 文 件 ， 因 此 不 同 的 程 序 所 使 用 的 日 志 记 录 格 式 可 能 会 存 在 极 大 差 异 。 通 过 查 看   / e t c / r s y s l o g . c o n f   ， 可 查 看 相 关 系 统 日 志 配 置 情 况 。 m e s s a g e   日 志 ， 一 般 内 核 及 大 多 数 系 统 消 息 都 被 记 录 到 公 共 日 志 文 件   / v a r / l o g / m e s s a g e s   中 ， 而 其 他 一 些 程 序 消 息 被 记 录 到 不 同 的 文 件 中 ， 日 志 消 息 还 能 够 记 录 到 特 定 的 存 储 设 备 中 ， 或 者 直 接 向 用 户 发 送 。
s e c u r e   是 应 急 中 最 常 用 的 文 件 ， 主 要 记 录 系 统 存 取 数 据 的 文 件 ， 如   P O P 3 、 s s h 、 t e l n e t 、 f t p   等 相 关 记 录 ， 从 日 志 中 可 看 出 系 统 服 务 是 否 遭 受 到 安 全 威 胁 ， 从 如 下 日 志 中 可 看 到   S S H   服 务 一 直 在 被 破 解 。 用 户 日 志 用 户 日 志 w t m p   日 志 记 录 了 用 户 的 登 录 、 退 出 、 重 启 等 情 况 ， 可 以 查 看 系 统 是 否 存 在 异 常 用 户 登 录 ， 判 断 攻 击 者 是 否 已 经 登 录 服 务 器 ， 由 于   w t m p   日 志 为 二 进 制 文 件 ， 所 以 利 用 用   l a s t   命 令 查 看 ， l a s t   - t   2 0 1 9 0 4 2 6 1 2 0 9 5 0   , 可 查 看 这 个 时 间 之 前 的 日 志 。
l a s t l o g   命 令 ， 用 于 显 示 系 统 中 所 有 用 户 最 近 一 次 登 录 信 息 。 l a s t l o g   文 件 在 每 次 有 用 户 登 录 时 被 查 询 。 可 以 使 用 l a s t l o g   命 令 检 查 某 特 定 用 户 上 次 登 录 的 时 间 ， 并 格 式 化 输 出 上 次 登 录 日 志   / v a r / l o g / l a s t l o g   的 内 容 。 它 根 据   U I D   排 序 显 示 登 录 名 、 端 口 号 （ t t y ） 和 上 次 登 录 时 间 。 如 果 一 个 用 户 从 未 登 录 过 ， l a s t l o g   显 示   N e v e r   l o g g e d 。 注 意 需 要 以   r o o t   身 份 运 行 该 命 令 。 所 以 查 询 登 录 情 况 的 几 个 命 令 ， 本 质 上 就 是 在 查 日 志   / v a r / l o g / b t m p 、 / v a r / l o g / l a s t l o g 、 / v a r / l o g / w t m p 日 志 分 析 技 巧 日 志 分 析 技 巧 查 看 尝 试 暴 力 破 解 机 器 密 码 的 人 查 看 暴 力 猜 用 户 名 的 人 l a s t               # 登 录 成 功 记 录 l a s t b             # 登 录 失 败 记 录 l a s t l o g         # 最 后 一 次 登 录 #   D e b i a n   系 的 发 行 版 s u d o   g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / a u t h . l o g   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e #   R e d   H a t   系 的 发 行 版 s u d o   g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e
I P   信 息 登 录 成 功 系 统 系 统 系 统 完 整 性 系 统 完 整 性 通 过   r p m   自 带 的   - V a   来 校 验 检 查 所 有 的   r p m   软 件 包 ， 查 看 哪 些 命 令 是 否 被 替 换 了 #   D e b i a n   系 的 发 行 版 s u d o   g r e p   " F a i l e d   p a s s w o r d   f o r   i n v a l i d   u s e r "   / v a r / l o g / a u t h . l o g   |   a w k   ' { p r i n t   $ 1 3 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e #   R e d   H a t   系 的 发 行 版 s u d o   g r e p   " F a i l e d   p a s s w o r d   f o r   i n v a l i d   u s e r "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 3 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e   |   a w k   { ' p r i n t   $ 9 ' }   |   s o r t   |   u n i q   - c   |   s o r t   - n r g r e p   - o   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | u n i q   - c g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 , $ 2 , $ 3 , $ 9 , $ 1 1 } #   D e b i a n   系 的 发 行 版 g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / a u t h . l o g   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e #   R e d   H a t   系 的 发 行 版 g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t #   D e b i a n   系 的 发 行 版 g r e p   " A c c e p t e d   "   / v a r / l o g / a u t h . l o g   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e #   R e d   H a t   系 的 发 行 版 g r e p   ' A c c e p t e d '   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e *   |   a w k   ' { p r i n t   $ 1 , $ 2 , $ 3 , $ 9 , $ 1 1 } ' r p m   - V a   >   r p m . l o g
查 看 对 外 开 放 端 口 查 看 对 外 开 放 端 口 检 查 异 常 端 口 这 里 推 荐 一 个 很 好 用 的 防 止 端 口 扫 描 脚 本   h t t p s : / / g i t h u b . c o m / E t h e r D r e a m / a n t i - p o r t s c a n 防 火 墙 防 火 墙 r p m   - V a   >   r p m . l o g #   如 果 一 切 均 校 验 正 常 将 不 会 产 生 任 何 输 出 ， 如 果 有 不 一 致 的 地 方 ， 就 会 显 示 出 来 ， 输 出 格 式 是 8 位 长 字 符 串 ， 每 个 字 符 都 用 以 表 示 文 件 与 R P M 数 据 库 中 一 种 属 性 的 比 较 结 果   ， 如 果 是 .   ( 点 )   则 表 示 测 试 通 过 。 验 证 内 容 中 的 8 个 信 息 的 具 体 内 容 如 下 ： -   S                   文 件 大 小 是 否 改 变 -   M                   文 件 的 类 型 或 文 件 的 权 限 （ r w x ） 是 否 被 改 变 -   5                   文 件 M D 5 校 验 是 否 改 变 （ 可 以 看 成 文 件 内 容 是 否 改 变 ） -   D                   设 备 中 ， 从 代 码 是 否 改 变 -   L                   文 件 路 径 是 否 改 变 -   U                   文 件 的 属 主 （ 所 有 者 ） 是 否 改 变 -   G                   文 件 的 属 组 是 否 改 变 -   T                   文 件 的 修 改 时 间 是 否 改 变 s s   - t n l p s s   - t n l p   |   g r e p   s s h s s   - t n l p   |   g r e p   " : 2 2 " n e t s t a t   - t n l p n e t s t a t   - t n l p   |   g r e p   s s h f i r e w a l l - c m d   - - s t a t e                                         #   显 示 防 火 墙 状 态 f i r e w a l l - c m d   - - g e t - z o n e s                                 #   列 出 当 前 有 几 个   z o n e f i r e w a l l - c m d   - - g e t - a c t i v e - z o n e s                   #   取 得 当 前 活 动 的   z o n e s f i r e w a l l - c m d   - - g e t - d e f a u l t - z o n e                   #   取 得 默 认 的   z o n e f i r e w a l l - c m d   - - g e t - s e r v i c e                             #   取 得 当 前 支 持   s e r v i c e f i r e w a l l - c m d   - - g e t - s e r v i c e   - - p e r m a n e n t     #   检 查 下 一 次 重 载 后 将 激 活 的 服 务 f i r e w a l l - c m d   - - z o n e = p u b l i c   - - l i s t - p o r t s   #   列 出   z o n e   p u b l i c   端 口
用 户 用 户 计 划 任 务 和 启 动 项 计 划 任 务 和 启 动 项 可 疑 文 件 可 疑 文 件 f i r e w a l l - c m d   - - z o n e = p u b l i c   - - l i s t - a l l       #   列 出   z o n e   p u b l i c   当 前 设 置 a w k   - F :   ' { i f ( $ 3 = = 0 | | $ 4 = = 0 ) p r i n t   $ 1 } '   / e t c / p a s s w d                         #   查 看   U I D G I D   为 0 的 帐 号 a w k   - F :   ' { i f ( $ 7 ! = " / u s r / s b i n / n o l o g i n " ) p r i n t   $ 1 } '   / e t c / p a s s w d   #   查 看 能 够 登 录 的 帐 号 l a s t l o g                                                                                                           #   系 统 中 所 有 用 户 最 近 一 次 登 录 信 息 l a s t b                                                                                                               #   显 示 用 户 错 误 的 登 录 列 表 u s e r s                                                                                                               #   打 印 当 前 登 录 的 用 户 ， 每 个 用 户 名 对 应 一 个 登 录 会 话 。 如 果 一 个 用 户 不 止 一 个 登 录 会 话 ， 其 用 户 名 显 示 相 同 次 数 c h k c o n f i g                                       #   查 看 开 机 启 动 服 务 命 令 c h k c o n f i g   - - l i s t   |   g r e p   " 3 : 启 用 | 3 : 开 | 3 : o n | 5 : 启 用 | 5 : 开 | 5 : o n " l s   / e t c / i n i t . d                             #   查 看 开 机 启 动 配 置 文 件 命 令 c a t   / e t c / r c . l o c a l                       #   查 看   r c   启 动 文 件 l s   / e t c / r c . d / r c [ 0 ~ 6 ] . d r u n l e v e l                                         #   查 看 运 行 级 别 命 令 c r o n t a b   - l                                     #   计 划 任 务 列 表 l s   - a l h   / v a r / s p o o l / c r o n           #   默 认 编 写 的   c r o n t a b   文 件 会 保 存 在   / v a r / s p o o l / c r o n / 用 户 名   下 l s   - a l   / e t c /   |   g r e p   c r o n l s   - a l   / e t c / c r o n * c a t   / e t c / c r o n * c a t   / e t c / a t . a l l o w c a t   / e t c / a t . d e n y c a t   / e t c / c r o n . a l l o w c a t   / e t c / c r o n . d e n y c a t   / e t c / c r o n t a b c a t   / e t c / a n a c r o n t a b c a t   / v a r / s p o o l / c r o n / c r o n t a b s / r o o t
查 看 敏 感 目 录 ， 如 / t m p 目 录 下 的 文 件 ， 同 时 注 意 隐 藏 文 件 夹 ， 以 “ . . ” 为 名 的 文 件 夹 具 有 隐 藏 属 性 ， 针 对 可 疑 文 件 查 看 创 建 修 改 时 间 。 后 门 检 查 后 门 检 查 1 . 检 查   / e t c / p a s s w d   文 件 是 否 有 异 常 2 . 检 测 对 应   v i m   进 程 号 虚 拟 目 录 的   m a p   文 件 是 否 有   p y t h o n   字 眼 . 3 . 通 过 排 查   s h e l l   的 配 置 文 件 或 者   a l i a s   命 令 即 可 发 现 , 例 如   ~ / . b a s h r c   和   ~ / . b a s h _ p r o f i l e   文 件 查 看 是 否 有 恶 意 的   a l i a s   问 题 . 4 . 进 入   / h o m e   各 帐 号 目 录 下 的   . b a s h _ h i s t o r y   查 看 普 通 帐 号 的 历 史 命 令 5 . R o o t k i t 检 查 c h k r o o t k i t 或 R o o t k i t   H u n t e r 工 具 进 行 分 割 日 志 工 具 分 割 日 志 工 具 目 前 大 部 分   l i n u x   系 统 都 会 默 认 安 装 有   l o g r o t a t e ， 日 志 分 割 工 具 . 而 这 个 工 具 的 功 能 就 是 大 家 在   / v a r / l o g /   目 录 下 面 看 到 的 形 如   m e s s a g e s - 2 0 1 8 1 0 2 8   样 式 的 日 志 ， 在 使 用   l o g r o t a t e   进 行 配 置 后 就 可 以 按 照 时 间 或 者 大 小 对 日 志 进 行 分 割 存 储 . 如 果 对   / e t c / l o g r o t a t e . c o n f   文 件 和   / e t c / l o g r o t a t e . d /   目 录 没 有 改 动 ， 可 以 看 到   / e t c / l o g r o t a t e . c o n f   默 认 配 置 : f i n d   /   - c t i m e   - 2                                 #   查 找 7 2 小 时 内 新 增 的 文 件 f i n d   . /   - m t i m e   0   - n a m e   " * . j s p "     #   查 找 2 4 小 时 内 被 修 改 的   J S P   文 件 f i n d   /   * . j s p   - p e r m   4 7 7 7                   #   查 找 7 7 7 的 权 限 的 文 件 l s   - a   / t m p                                             #   查 看 临 时 目 录 s t r i n g s   / u s r / s b i n / s s h d   |   e g r e p   ' [ 1 - 9 ] { 1 , 3 } . [ 1 - 9 ] { 1 , 3 } . '         #   分 析   s s h d   文 件 ， 是 否 包 括 I P 信 息 v i m   / e t c / l o g r o t a t e . c o n f #   按 周 轮 训 w e e k l y #   保 留 4 周 日 志 备 份 r o t a t e   4 #   标 记 分 割 日 志 并 创 建 当 前 日 志 c r e a t e #   使 用 时 间 作 为 后 缀 d a t e e x t #   对   l o g r o t a t e . d   目 录 下 面 的 日 志 种 类 使 用 i n c l u d e   / e t c / l o g r o t a t e . d #   对 于 w t m p   和   b t m p   日 志 处 理 在 这 里 进 行 设 置 / v a r / l o g / w t m p   {         m o n t h l y         c r e a t e   0 6 6 4   r o o t   u t m p   m i n s i z e   1 M         r o t a t e   1
此 外 ， 如 果 你 在 服 务 器 上 面 安 装 了 m y s q l ， h t t p d   或 者 其 他 应 用 服 务 后 ， l o g r o t a t e   它 会 自 动 在   / e t c / l o g r o t a t e . d /   下 面 创 建 对 应 的 日 志 处 理 方 式 ， 基 本 是 继 承   l o g r o t a t e . c o n f .   因 此 ， 不 论 是 你 服 务 器 上 面 系 统 日 志 还 是 应 用 日 志 ， 面 对 日 志 量 太 大 的 问 题 ， 都 可 以 使 用   l o g r o t a t e   进 行 设 置 处 理 .   当 然 还 有   L o g a n a l y z e r   这 类 日 志 收 集 系 统 ， 这 里 由 于 篇 幅 缘 故 ， 就 不 细 讲 了 。 总 结 总 结 本 文 模 拟 了 常 见 的 应 急 场 景 ， 通 过 各 种 技 术 手 段 ， 在 机 器 上 捕 捉 红 队 人 员 的 痕 迹 ， 并 且 排 查 是 否 有 后 门 残 留 。 在 实 际 环 境 中 ， 会 存 在 各 种 复 杂 的 场 景 ， 特 别 是 针 对 系 统 上 不 同 的 应 用 ， 存 在 各 种 隐 藏 后 门 的 手 段 ， 蓝 方 人 员 不 仅 需 要 掌 握 系 统 、 应 用 的 加 固 知 识 还 需 要 掌 握 相 应 的 漏 洞 利 用 知 识 ， 熟 悉 红 队 的 进 攻 手 段 ， 才 可 以 做 到 更 好 的 防 护 。 作 者 ： 作 者 ： 江 苏 智 慧 安 全 可 信 技 术 研 究 院 ， 江 苏 智 慧 安 全 可 信 技 术 研 究 院 ， 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c         r o t a t e   1 } / v a r / l o g / b t m p   {         m i s s i n g o k         m o n t h l y         c r e a t e   0 6 0 0   r o o t   u t m p         r o t a t e   1 }
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理