搜索

[23283] 2014-11-14_使用utmpdump监控CentOS用户登录历史

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2014-11-14_使用utmpdump监控CentOS用户登录历史 使 用   u t m p d u m p   监 控   C e n t O S   用 户 登 录 历 史 L i n u x 中 国   2 0 1 4 - 1 1 - 1 4 保 留 、 维 护 和 分 析 日 志 （ 如 某 个 特 定 时 期 内 发 生 过 的 ， 或 正 在 发 生 的 帐 号 事 件 ） ， 是 L i n u x 系 统 管 理 员 最 基 础 和 最 重 要 的 任 务 之 一 。 对 于 用 户 管 理 ， 检 查 用 户 的 登 入 和 登 出 日 志 （ 不 管 是 失 败 的 ， 还 是 成 功 的 ） 可 以 让 我 们 对 任 何 潜 在 的 安 全 隐 患 或 未 经 授 权 使 用 系 统 的 情 况 保 持 警 惕 。 例 如 ， 工 作 时 间 之 外 或 放 假 期 间 的 来 自 未 知 I P 地 址 或 帐 号 的 远 程 登 录 应 当 发 出 红 色 警 报 。 在 C e n t O S 系 统 上 ， 用 户 登 录 历 史 存 储 在 以 下 这 些 文 件 中 ： / v a r / r u n / u t m p （ 用 于 记 录 当 前 打 开 的 会 话 ） 被 w h o 和 w 工 具 用 来 记 录 当 前 有 谁 登 录 以 及 他 们 正 在 做 什 么 ， 而 u p t i m e 用 来 记 录 系 统 启 动 时 间 。 / v a r / l o g / w t m p   （ 用 于 存 储 系 统 连 接 历 史 记 录 ） 被 l a s t 工 具 用 来 记 录 最 后 登 录 的 用 户 的 列 表 。 / v a r / l o g / b t m p （ 记 录 失 败 的 登 录 尝 试 ） 被 l a s t b 工 具 用 来 记 录 最 后 失 败 的 登 录 尝 试 的 列 表 。 在 本 文 中 ， 我 将 介 绍 如 何 使 用 u t m p d u m p ， 这 个 小 程 序 来 自 s y s v i n i t - t o o l s 包 ， 可 以 用 于 转 储 二 进 制 日 志 文 件 到 文 本 格 式 的 文 件 以 便 检 查 。 此 工 具 默 认 在 C e n t O S   6 和 7 系 列 上 可 用 。 u t m p d u m p 收 集 到 的 信 息 比 先 前 提 到 过 的 工 具 的 输 出 要 更 全 面 ， 这 让 它 成 为 一 个 胜 任 该 工 作 的 很 不 错 的 工 具 。 除 此 之 外 ， u t m p d u m p 可 以 用 于 修 改 u t m p 或 w t m p 。 如 果 你 想 要 修 复 二 进 制 日 志 中 的 任 何 损 坏 条 目 ， 它 会 很 有 用 （ L C T T   译 注 ： 我 怎 么 觉 得 这 像 是 做 坏 事 的 前 奏 ？ ） 。 U t m p d u m p 的 使 用 及 其 输 出 说 明 正 如 我 们 之 前 提 到 的 ， 这 些 日 志 文 件 ， 与 我 们 大 多 数 人 熟 悉 的 其 它 日 志 相 比 （ 如 / v a r / l o g / m e s s a g e s ， / v a r / l o g / c r o n ， / v a r / l o g / m a i l l o g ） ， 是 以 二 进 制 格 式 存 储 的 ， 因 而 我 们 不 能 使 用 像 l e s s 或 m o r e 这 样 的 文 件 命 令 来 查 看 它 们 的 内 容 。 所 以 ， u t m p d u m p 的 出 现 拯 救 了 世 界 。 为 了 要 显 示 / v a r / r u n / u t m p 的 内 容 ， 请 运 行 以 下 命 令 ： #   u t m p d u m p   / v a r / r u n / u t m p 同 样 要 显 示 / v a r / l o g / w t m p 的 内 容 ： #   u t m p d u m p   / v a r / l o g / w t m p   |   t a i l   - 1 5
最 后 ， 对 于 / v a r / l o g / b t m p ： #   u t m p d u m p   / v a r / l o g / b t m p 正 如 你 所 能 看 到 的 ， 三 种 情 况 下 的 输 出 结 果 是 一 样 的 ， 除 了 u t m p 和 b t m p 的 记 录 是 按 时 间 排 序 ， 而 w t m p 的 顺 序 是 颠 倒 的 这 个 原 因 外 （ L C T T   译 注 ： 此 处 原 文 有 误 ， 实 际 上 都 是 按 照 时 间 顺 序 排 列 的 ） 。 每 个 日 志 行 格 式 化 成 了 多 列 ， 说 明 如 下 。 第 一 个 字 段 显 示 了 会 话 识 别 符 ， 而 第 二 个 字 段 则 是 P I D 。 第 三 个 字 段 可 以 是 以 下 值 ： - - （ 表 示 运 行 等 级 改 变 或 系 统 重 启 ） ， b w （ 启 动 守 候 进 程 ） ， 数 字 （ 表 示 T T Y 编 号 ） ， 或 者 字 符 和 数 字 （ 表 示 伪 终 端 ） 。 第 四 个 字 段 可 以 为 空 或 用 户 名 、 重 启 或 运 行 级 别 。 第 五 个 字 段 是 主 T T Y 或 P T Y （ 伪 终 端 ） ， 如 果 此 信 息 可 获 得 的 话 。 第 六 个 字 段 是 远 程 主 机 名 （ 如 果 是 本 地 登 录 ， 该 字 段 为 空 ， 运 行 级 别 信 息 除 外 ， 它 会 返 回 内 核 版 本 ） 。 第 七 个 字 段 是 远 程 系 统 的 I P 地 址 （ 如 果 是 本 地 登 录 ， 该 字 段 为 0 . 0 . 0 . 0 ） 。 如 果 没 有 提 供 D N S 解 析 ， 第 六 和 第 七 字 段 会 显 示 相 同 的 信 息 （ 远 程 系 统 的 I P 地 址 ） 。 最 后 一 个 （ 第 八 ） 字 段 指 明 了 该 记 录 创 建 的 日 期 和 时 间 。 U t m p d u m p 使 用 样 例 下 面 提 供 了 一 些 u t m p d u m p 的 简 单 使 用 情 况 。 1 、   检 查 8 月 1 8 日 到 9 月 1 7 日 之 间 某 个 特 定 用 户 （ 如 g a c a n e p a ） 的 登 录 次 数 。 #   u t m p d u m p   / v a r / l o g / w t m p   |   g r e p   g a c a n e p a 如 果 你 需 要 回 顾 先 前 日 期 的 登 录 信 息 ， 你 可 以 检 查 / v a r / l o g 下 的 w t m p - Y Y Y Y M M D D （ 或 w t m p . [ 1 . . . N ] ） 和 b t m p - Y Y Y Y M M D D （ 或 b t m p . [ 1 . . . N ] ） 文 件 ， 这 些 是 由 l o g r o t a t e 生 成 的 旧 w t m p 和 b t m p 的 归 档 文 件 。 2 、   统 计 来 自 I P 地 址 1 9 2 . 1 6 8 . 0 . 1 0 1 的 登 录 次 数 。 #   u t m p d u m p   / v a r / l o g / w t m p   |   g r e p   1 9 2 . 1 6 8 . 0 . 1 0 1 3 、   显 示 失 败 的 登 录 尝 试 。 #   u t m p d u m p   / v a r / l o g / b t m p 在 / v a r / l o g / b t m p 输 出 中 ， 每 个 日 志 行 都 与 一 个 失 败 的 登 录 尝 试 相 关 （ 如 使 用 不 正 确 的 密 码 ， 或 者 一 个 不 存 在 的 用 户 I D ） 。 上 面 图 片 中 高 亮 部 分 显 示 了 使 用 不 存 在 的 用 户 I D 登 录 ， 这 警 告 你 有 人 尝 试 猜 测 常 用 帐 号 名 来 闯 入 系 统 。 这 在 使 用 t t y 1 的 情 况 下 是 个 极 其 严 重 的 问 题 ， 因 为 这 意 味 着 某 人 对 你 机 器 上 的 终 端 具 有 访 问 权 限 （ 该 检 查 一 下 谁 拿 到 了 进 入 你 数 据 中 心 的 钥 匙 了 ， 也 许 吧 ？ ） 4 、   显 示 每 个 用 户 会 话 的 登 入 和 登 出 信 息 #   u t m p d u m p   / v a r / l o g / w t m p
在 / v a r / l o g w t m p 中 ， 一 次 新 的 登 录 事 件 的 特 征 是 ， 第 一 个 字 段 为 ‘ 7 ’ ， 第 三 个 字 段 是 一 个 终 端 编 号 （ 或 伪 终 端 i d ） ， 第 四 个 字 段 为 用 户 名 。 相 关 的 登 出 事 件 会 在 第 一 个 字 段 显 示 ‘ 8 ’ ， 第 二 个 字 段 显 示 与 登 录 一 样 的 P I D ， 而 终 端 编 号 字 段 空 白 。 例 如 ， 仔 细 观 察 上 面 图 片 中 P I D   1 4 6 3 的 行 。 在   [ F r i   S e p   1 9   1 1 : 5 7 : 4 0   2 0 1 4   A R T ] ， T T Y 1 上 显 示 登 录 提 示 符 。 在   [ F r i   S e p   1 9   1 2 : 0 4 : 2 1   2 0 1 4   A R T ] ， 用 户   r o o t   登 入 。 在   [ F r i   S e p   1 9   1 2 : 0 7 : 2 4   2 0 1 4   A R T ] ， 用 户   r o o t   登 出 。 旁 注 ： 第 四 个 字 段 的 L O G I N 意 味 着 出 现 了 一 次 登 录 到 第 五 字 段 指 定 的 终 端 的 提 示 。 到 目 前 为 止 ， 我 介 绍 一 些 有 点 琐 碎 的 例 子 。 你 可 以 将 u t m p d u m p 和 其 它 一 些 文 本 处 理 工 具 ， 如 a w k 、 s e d 、 g r e p 或 c u t 组 合 ， 来 产 生 过 滤 和 加 强 的 输 出 。 例 如 ， 你 可 以 使 用 以 下 命 令 来 列 出 某 个 特 定 用 户 （ 如 g a c a n e p a ） 的 所 有 登 录 事 件 ， 并 发 送 输 出 结 果 到 . c s v 文 件 ， 它 可 以 用 像 L i b r e O f f i c e   C a l c 或 M i c r o s o f t   E x c e l 之 类 的 文 字 或 工 作 簿 应 用 程 序 打 开 查 看 。 让 我 们 只 显 示 P I D 、 用 户 名 、 I P 地 址 和 时 间 戳 ：   #   u t m p d u m p   / v a r / l o g / w t m p   |   g r e p   - E   " [ 7 ] . * g a c a n e p a "   |   a w k   - v   O F S = " , "   ' B E G I N   { F S = " ]   " } ;   { p r i n t   $ 2 , $ 4 , $ 7 , $ 8 } '   |   s e d   - e   ' s / [ / / g '   - e   ' s / ] / / g ' 就 像 上 面 图 片 中 三 个 高 亮 区 域 描 绘 的 那 样 ， 过 滤 逻 辑 操 作 是 由 三 个 管 道 步 骤 组 成 的 。 第 一 步 用 于 查 找 由 用 户 g a c a n e p a 触 发 的 登 录 事 件 （ [ 7 ] ） ； 第 二 步 和 第 三 部 用 于 选 择 期 望 的 字 段 ， 移 除 u t m p d u m p 输 出 的 方 括 号 并 设 置 输 出 字 段 分 隔 符 为 逗 号 。 当 然 ， 如 果 你 想 要 在 以 后 打 开 来 看 ， 你 需 要 重 定 向 上 面 的 命 令 输 出 到 文 件 （ 添 加 “ > [ 文 件 名 ] . c s v ” 到 命 令 后 面 ） 。 在 更 为 复 杂 的 例 子 中 ， 如 果 你 想 要 知 道 在 特 定 时 间 内 哪 些 用 户 （ 在 / e t c / p a s s w d 中 列 出 ） 没 有 登 录 ， 你 可 以 从 / e t c / p a s s w d 中 提 取 用 户 名 ， 然 后 运 行 g r e p 命 令 来 获 取 / v a r / l o g / w t m p 输 出 中 对 应 用 户 的 列 表 。 就 像 你 看 到 的 那 样 ， 有 着 无 限 可 能 。 在 进 行 总 结 之 前 ， 让 我 们 简 要 地 展 示 一 下 u t m p d u m p 的 另 外 一 种 使 用 情 况 ： 修 改 u t m p 或 w t m p 。 由 于 这 些 都 是 二 进 制 日 志 文 件 ， 你 不 能 像 编 辑 文 件 一 样 来 编 辑 它 们 。 取 而 代 之 是 ， 你 可 以 将 其 内 容 输 出 成 为 文 本 格 式 ， 并 修 改 文 本 输 出 内 容 ， 然 后 将 修 改 后 的 内 容 导 入 回 二 进 制 日 志 中 。 如 下 ： #   u t m p d u m p   / v a r / l o g / u t m p   >   t m p _ o u t p u t < 使 用 文 本 编 辑 器 修 改   t m p _ o u t p u t > #   u t m p d u m p   - r   t m p _ o u t p u t   >   / v a r / l o g / u t m p 这 在 你 想 要 移 除 或 修 复 二 进 制 日 志 中 的 任 何 伪 造 条 目 时 很 有 用 。 下 面 小 结 一 下 ， u t m p d u m p 从 u t m p 、 w t m p 和 b t m p 日 志 文 件 或 轮 循 的 旧 归 档 文 件 来 读 取 详 细 的 登 录 事 件 ， 来 补 充 如 w h o ， w ， u p t i m e ， l a s t ， l a s t b 之 类 的 标 准 工 具 的 不 足 ， 这 也 使 得 它 成 为 一 个 很 棒 的 工 具 。 你 可 以 随 意 添 加 评 论 以 加 强 本 帖 的 含 金 量 。 v i a :   h t t p : / / x m o d u l o . c o m / 2 0 1 4 / 0 9 / m o n i t o r - u s e r - l o g i n - h i s t o r y - c e n t o s - u t m p d u m p . h t m l 作 者 ： G a b r i e l   C á n e p a   译 者 ： G O L i n u x   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理