搜索

[21602] 2021-01-16_谁动了我的主机之活用History命令

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-01-16_谁动了我的主机之活用History命令 谁 动 了 我 的 主 机 ?   之 活 用 H i s t o r y 命 令 悬 镜 安 全 实 验 室   L e m o n S e c   2 0 2 1 - 0 1 - 1 6 作 者 ： 悬 镜 安 全 实 验 室 链 接 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 3 5 8 4 5 . h t m l L i n u x 系 统 下 可 通 过 h i s t o r y 命 令 查 看 用 户 所 有 的 历 史 操 作 记 录 ， 在 安 全 应 急 响 应 中 起 着 非 常 重 要 的 作 用 ， 但 在 未 进 行 附 加 配 置 情 况 下 ， h i s t o r y 命 令 只 能 查 看 用 户 历 史 操 作 记 录 ， 并 不 能 区 分 用 户 以 及 操 作 时 间 ， 不 便 于 审 计 分 析 。 当 然 ， 一 些 不 好 的 操 作 习 惯 也 可 能 通 过 命 令 历 史 泄 露 敏 感 信 息 。 下 面 我 们 来 介 绍 如 何 让 h i s t o r y 日 志 记 录 更 细 化 ， 更 便 于 我 们 审 计 分 析 。 1 、 命 令 历 史 记 录 中 加 时 间 、 命 令 历 史 记 录 中 加 时 间 默 认 情 况 下 如 下 图 所 示 ， 没 有 命 令 执 行 时 间 ， 不 利 于 审 计 分 析 。 通 过 设 置 e x p o r t   H I S T T I M E F O R M A T = ' % F   % T   ' ， 让 历 史 记 录 中 带 上 命 令 执 行 时 间 。 注 意 ” % T ” 和 后 面 的 ” ’ ” 之 间 有 空 格 ， 不 然 查 看 历 史 记 录 的 时 候 ， 时 间 和 命 令 之 间 没 有 分 割 。 要 一 劳 永 逸 ， 这 个 配 置 可 以 写 在 / e t c / p r o f i l e 中 ， 当 然 如 果 要 对 指 定 用 户 做 配 置 ， 这 个 配 置 可 以 写 在 / h o m e / $ U S E R / . b a s h _ p r o f i l e 中 。 本 文 将 以 / e t c / p r o f i l e 为 例 进 行 演 示 。 要 使 配 置 立 即 生 效 请 执 行 s o u r c e   / e t c / p r o f i l e ， 我 们 再 查 看 h i s t o r y 记 录 ， 可 以 看 到 记 录 中 带 上 了 命 令 执 行 时 间 。 如 果 想 要 实 现 更 细 化 的 记 录 ， 比 如 登 陆 过 系 统 的 用 户 、 I P 地 址 、 操 作 命 令 以 及 操 作 时 间 一 一 对 应 ， 可 以 通 过 在 / e t c / p r o f i l e 里 面 加 入
以 下 代 码 实 现 注 意 空 格 都 是 必 须 的 。 修 改 / e t c / p r o f i l e 并 加 载 后 ， h i s t o r y 记 录 如 下 ， 时 间 、 I P 、 用 户 及 执 行 的 命 令 都 一 一 对 应 。 通 过 以 上 配 置 ， 我 们 基 本 上 可 以 满 足 日 常 的 审 计 工 作 了 ， 但 了 解 系 统 的 朋 友 应 该 很 容 易 看 出 来 ， 这 种 方 法 只 是 设 置 了 环 境 变 量 ， 攻 击 者 u n s e t 掉 这 个 环 境 变 量 ， 或 者 直 接 删 除 命 令 历 史 ， 对 于 安 全 应 急 来 说 ， 这 无 疑 是 一 个 灾 难 。 针 对 这 样 的 问 题 ， 我 们 应 该 如 何 应 对 ， 下 面 才 是 我 们 今 天 的 重 点 ， 通 过 修 改 b a s h 源 码 ， 让 h i s t o r y 记 录 通 过 s y s l o g 发 送 到 远 程 l o g s e r v e r 中 ， 大 大 增 加 了 攻 击 者 对 h i s t o r y 记 录 完 整 性 破 坏 的 难 度 。 2 、 修 改 、 修 改 b a s h 源 码 ， 支 持 源 码 ， 支 持 s y s l o g 记 录 记 录 首 先 下 载 b a s h 源 码 ， 可 以 从 g n u . o r g 下 载 ， 这 里 不 做 详 细 说 明 了 ， 系 统 需 要 安 装 g c c 等 编 译 环 境 。 我 们 用 b a s h 4 . 4 版 本 做 演 示 。 修 改 源 码 ： b a s h h i s t . c 修 改 源 码 c o n f i g - t o p . h ， 取 消 / # d e f i n e   S Y S L O G _ H I S T O R Y / 这 行 的 注 释 编 译 安 装 ， 编 译 过 程 不 做 详 细 说 明 ， 本 文 中 使 用 的 编 译 参 数 为 ： . / c o n f i g u r e   - - p r e f i x = / u s r / l o c a l / b a s h ， 安 装 成 功 后 对 应 目 录 如 下 ： e x p o r t   H I S T T I M E F O R M A T = " % F   % T ` w h o   - u   a m   i   2 > / d e v / n u l l |   a w k   ' { p r i n t   $ N F } ' | s e d   - e   ' s / [ ( ) ] / / g ' ` ` w h o a m i `  
此 时 可 以 修 改 / e t c / p a s s w d 中 用 户 s h e l l 环 境 ， 也 可 以 用 编 译 好 的 文 件 直 接 替 换 原 有 的 b a s h 二 进 制 文 件 ， 但 最 好 对 原 文 件 做 好 备 份 。 替 换 时 要 注 意 两 点 : 1 、 一 定 要 给 可 执 行 权 限 ， 默 认 是 有 的 ， 不 过 有 时 候 下 载 到 w i n d o w s 系 统 后 ， 再 上 传 就 没 有 可 执 行 权 限 了 ， 这 里 一 定 要 确 定 ， 不 然 你 会 后 悔 的 ； 2 、 替 换 时 原 b a s h 被 占 用 ， 可 以 修 改 原 用 户 的 b a s h 环 境 后 再 进 行 替 换 。 查 看 效 果 ， 我 们 发 现 h i s t o r y 记 录 已 经 写 到 了 / v a r / l o g / m e s s a g e 中 。 如 果 要 写 到 远 程 l o g s e r v e r ， 需 要 配 置 s y s l o g 服 务 ， 具 体 配 置 这 里 不 做 详 细 讲 解 ， 大 家 自 己 研 究 ， 发 送 到 远 端 l o g s e r v e r 效 果 如 下 图 所 示 。 通 过 以 上 手 段 ， 可 以 有 效 保 证 h i s t o r y 记 录 的 完 整 性 ， 避 免 攻 击 者 登 录 系 统 后 ， 通 过 取 消 环 境 变 量 、 删 除 h i s t o r y 记 录 等 方 式 抹 掉 操 作 行 为 ， 为 安 全 审 计 、 应 急 响 应 等 提 供 了 完 整 的 原 始 数 据 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理