搜索

[11608] 2017-07-31_渗透测试TIPS之删除、伪造Linux系统登录日志

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2017-07-31_渗透测试TIPS之删除、伪造Linux系统登录日志 渗 透 测 试 T I P S 之 删 除 、 伪 造 L i n u x 系 统 登 录 日 志 k n p e w g 8 5 9 4 2   F r e e B u f   2 0 1 7 - 0 7 - 3 1 0 x 0 0 .   引 言 引 言 擦 除 日 志 在 渗 透 测 试 中 是 非 常 重 要 的 一 个 阶 段 ， 这 样 可 以 更 好 地 隐 藏 入 侵 痕 迹 ， 做 到 不 被 系 统 管 理 人 员 察 觉 ， 擦 除 日 志 在 渗 透 测 试 中 是 非 常 重 要 的 一 个 阶 段 ， 这 样 可 以 更 好 地 隐 藏 入 侵 痕 迹 ， 做 到 不 被 系 统 管 理 人 员 察 觉 ， 实 现 长 期 潜 伏 的 目 的 。 实 现 长 期 潜 伏 的 目 的 。   前 段 时 间 前 段 时 间 N S A 泄 露 的 渗 透 测 试 工 具 中 就 有 一 款 泄 露 的 渗 透 测 试 工 具 中 就 有 一 款 w t m p 日 志 的 擦 除 ， 非 常 好 用 ， 这 引 起 了 日 志 的 擦 除 ， 非 常 好 用 ， 这 引 起 了 我 的 兴 趣 ， 于 是 研 究 了 一 下 我 的 兴 趣 ， 于 是 研 究 了 一 下 l i n u x   登 录 相 关 二 进 制 日 志 的 文 件 格 式 ， 用 登 录 相 关 二 进 制 日 志 的 文 件 格 式 ， 用 p y t h o n 写 了 一 个 日 志 擦 除 ， 伪 造 的 工 具 写 了 一 个 日 志 擦 除 ， 伪 造 的 工 具 （ 末 尾 附 源 码 ） （ 末 尾 附 源 码 ） 0 x 0 1 .   L i n u x 中 与 登 录 有 关 的 日 志 及 其 格 式 分 析 中 与 登 录 有 关 的 日 志 及 其 格 式 分 析 L i n u x 中 涉 及 到 登 录 的 二 进 制 日 志 文 件 有 其 中   u t m p   对 应 w   和   w h o 命 令 ；   w t m p   对 应 l a s t 命 令 ； b t m p 对 应 l a s t b 命 令 ； l a s t l o g   对 应 l a s t l o g 命 令 经 查 L i n u x   m a n   手 册 ， 的 二 进 制 格 式 都 是 一 样 的 ，   我 们 姑 且 称 之 为 x t m p   格 式 而 / v a r / l o g / l a s t l o g   文 件 的 格 式 与 之 不 同 ， 需 单 独 分 析 ， 下 面 我 们 先 分 析 x t m p 的 文 件 格 式 吧 ， 这 里 以 u t m p   格 式 为 例 U T M P   文 件 格 式 文 件 格 式 u t m p   文 件 格 式 是 这 样 的 ：         / v a r / r u n / u t m p         / v a r / l o g / w t m p         / v a r / l o g / b t m p         / v a r / l o g / l a s t l o g / v a r / r u n / u t m p / v a r / l o g / w t m p / v a r / l o g / b t m p         # d e f i n e   U T _ L I N E S I Z E           3 2         # d e f i n e   U T _ N A M E S I Z E           3 2         # d e f i n e   U T _ H O S T S I Z E           2 5 6                 s t r u c t   u t m p   {                         s h o r t       u t _ t y p e ;                             / *   T y p e   o f   r e c o r d   * /                         p i d _ t       u t _ p i d ;                               / *   P I D   o f   l o g i n   p r o c e s s   * /                         c h a r         u t _ l i n e [ U T _ L I N E S I Z E ] ;   / *   D e v i c e   n a m e   o f   t t y   -   " / d e v / "   * /                         c h a r         u t _ i d [ 4 ] ;                           / *   T e r m i n a l   n a m e   s u f f i x ,                                                                                           o r   i n i t t a b ( 5 )   I D   * /                         c h a r         u t _ u s e r [ U T _ N A M E S I Z E ] ;   / *   U s e r n a m e   * /                         c h a r         u t _ h o s t [ U T _ H O S T S I Z E ] ;   / *   H o s t n a m e   f o r   r e m o t e   l o g i n ,   o r                                                                                           k e r n e l   v e r s i o n   f o r   r u n - l e v e l                                                                                           m e s s a g e s   * /                         s t r u c t     e x i t _ s t a t u s   u t _ e x i t ;     / *   E x i t   s t a t u s   o f   a   p r o c e s s
                        s t r u c t     e x i t _ s t a t u s   u t _ e x i t ;     / *   E x i t   s t a t u s   o f   a   p r o c e s s                                                                                           m a r k e d   a s   D E A D _ P R O C E S S ;   n o t                                                                                           u s e d   b y   L i n u x   i n i t ( 8 )   * /                         / *   T h e   u t _ s e s s i o n   a n d   u t _ t v   f i e l d s   m u s t   b e   t h e   s a m e   s i z e   w h e n                               c o m p i l e d   3 2 -   a n d   6 4 - b i t .     T h i s   a l l o w s   d a t a   f i l e s   a n d   s h a r e d                               m e m o r y   t o   b e   s h a r e d   b e t w e e n   3 2 -   a n d   6 4 - b i t   a p p l i c a t i o n s .   * /                 # i f   _ _ W O R D S I Z E   = =   6 4   & &   d e f i n e d   _ _ W O R D S I Z E _ C O M P A T 3 2                         i n t 3 2 _ t   u t _ s e s s i o n ;                       / *   S e s s i o n   I D   ( g e t s i d ( 2 ) ) ,                                                                                           u s e d   f o r   w i n d o w i n g   * /                         s t r u c t   {                                 i n t 3 2 _ t   t v _ s e c ;                       / *   S e c o n d s   * /                                 i n t 3 2 _ t   t v _ u s e c ;                     / *   M i c r o s e c o n d s   * /                         }   u t _ t v ;                                             / *   T i m e   e n t r y   w a s   m a d e   * /                 # e l s e                           l o n g       u t _ s e s s i o n ;                       / *   S e s s i o n   I D   * /                           s t r u c t   t i m e v a l   u t _ t v ;                 / *   T i m e   e n t r y   w a s   m a d e   * /                 # e n d i f                       i n t 3 2 _ t   u t _ a d d r _ v 6 [ 4 ] ;                 / *   I n t e r n e t   a d d r e s s   o f   r e m o t e                                                                                           h o s t ;   I P v 4   a d d r e s s   u s e s                                                                                           j u s t   u t _ a d d r _ v 6 [ 0 ]   * /                         c h a r   _ _ u n u s e d [ 2 0 ] ;                         / *   R e s e r v e d   f o r   f u t u r e   u s e   * /                 } ;         其 中   e x i t _ s t a t u s   结 构 为 ：         s t r u c t   e x i t _ s t a t u s   {                             / *   T y p e   f o r   u t _ e x i t ,   b e l o w   * /                 s h o r t   i n t   e _ t e r m i n a t i o n ;             / *   P r o c e s s   t e r m i n a t i o n   s t a t u s   * /                 s h o r t   i n t   e _ e x i t ;                           / *   P r o c e s s   e x i t   s t a t u s   * /         } ; 其 中   u t _ t y p e   为 日 志 记 录 的 类 型 ， 主 要 有 以 下 几 种 日 志         # d e f i n e   E M P T Y                   0   / *   R e c o r d   d o e s   n o t   c o n t a i n   v a l i d   i n f o                                                               ( f o r m e r l y   k n o w n   a s   U T _ U N K N O W N   o n   L i n u x )   * /         # d e f i n e   R U N _ L V L               1   / *   C h a n g e   i n   s y s t e m   r u n - l e v e l   ( s e e                                                               i n i t ( 8 ) )   * /         # d e f i n e   B O O T _ T I M E           2   / *   T i m e   o f   s y s t e m   b o o t   ( i n   u t _ t v )   * /         # d e f i n e   N E W _ T I M E             3   / *   T i m e   a f t e r   s y s t e m   c l o c k   c h a n g e                                                               ( i n   u t _ t v )   * /         # d e f i n e   O L D _ T I M E             4   / *   T i m e   b e f o r e   s y s t e m   c l o c k   c h a n g e                                                               ( i n   u t _ t v )   * /         # d e f i n e   I N I T _ P R O C E S S     5   / *   P r o c e s s   s p a w n e d   b y   i n i t ( 8 )   * /         # d e f i n e   L O G I N _ P R O C E S S   6   / *   S e s s i o n   l e a d e r   p r o c e s s   f o r   u s e r   l o g i n   * /         # d e f i n e   U S E R _ P R O C E S S     7   / *   N o r m a l   p r o c e s s   * /         # d e f i n e   D E A D _ P R O C E S S     8   / *   T e r m i n a t e d   p r o c e s s   * /         # d e f i n e   A C C O U N T I N G         9   / *   N o t   i m p l e m e n t e d   * /         # d e f i n e   U T _ L I N E S I Z E             3 2         # d e f i n e   U T _ N A M E S I Z E             3 2
u t m p   记 录 例 子 （ 二 进 制 内 容 解 析 处 理 后 ） ： 对 比 u t m p 的 文 件 格 式 结 构 ， 挑 几 个 重 要 的 字 段 解 释 下 第 1 个 字 段 7   表 示 这 条 记 录 类 型 ， 一 般 的 用 户 正 常 登 录 记 录 类 型 都 是 7 ， 错 误 登 录 是 6   ， 也 就 是 b t m p 所 记 录 的 类 型 第 2 个 字 段 1 4 9 7   是 p i d   ， 截 图 中 我 是 用 s s h 远 程 登 录 l i n u x ， 这 里 指 的 就 是 s s h d 的 子 进 程 b a s h 的 p i d 第 3 个 字 段 p t s / 0   表 示 的 登 录 的 伪 终 端   ， 后 面 一 串 0 是 填 充 的 数 据 第 4 个 字 段   t s / 0 表 示 的 伪 终 端 的 后 缀 第 5 个 字 段 r o o t   表 示 登 录 用 户 名 ， 后 面 一 串 0 是 填 充 数 据 ， 因 为 这 个 字 段 为 3 2 个 字 节 大 小 第 6 个 字 段 1 0 . 1 . 1 0 0 . 1   表 示 的 是 登 录 主 机 ， 后 面 一 串 0 是 填 充 数 据 ， 因 为 这 个 字 段 为 2 5 6 个 字 节 大 小 第 1 0 个 字 段 表 示 的 是 登 录 时 间 ， 精 确 到 秒 第 1 1 个 字 段 表 示 的 是 登 录 时 间 中 微 妙 部 分 第 1 2 个 字 段 表 示 的 是 登 录 s e s s i o n i d l a s t l o g   文 件 格 式 ： 文 件 格 式 ： l a s t l o g   记 录 例 子 （ 二 进 制 内 容 解 析 处 理 后 ） ： 第 1 个 字 段 表 示 最 后 一 次 登 录 时 间 第 2 个 字 段 表 示 最 后 一 次 登 录 的 终 端 第 3 个 字 段 表 示 最 后 一 次 登 录 的 I P 0 x 0 2 .   擦 除 ， 伪 造 登 录 日 志 的 测 试 擦 除 ， 伪 造 登 录 日 志 的 测 试 1 . 删 除 u t m p 记 录 ， 将 自 己 从 w 或 者 w h o 输 出 中 隐 藏 比 如 此 时 有 两 个 登 录 记 录 ， 一 个 是 r o o t （ 要 删 除 的 记 录 ） ， 一 个 是 f 3         # d e f i n e   U T _ H O S T S I Z E           2 5 6         # d e f i n e   U T _ L I N E S I Z E           3 2         # d e f i n e   U T _ H O S T S I Z E           2 5 6         s t r u c t   l a s t l o g             {                 _ _ t i m e _ t   l l _ t i m e ;                 c h a r   l l _ l i n e [ U T _ L I N E S I Z E ] ;                 c h a r   l l _ h o s t [ U T _ H O S T S I Z E ] ;             } ;
删 除 前 ： 删 除 后 ： 1 .   添 加 u t m p 记 录 ， 伪 造 登 录 信 息 添 加 前 ： 添 加 后 ： 注 ： 注 ：   添 加 F a k e   在 线 记 录 的 时 候 ， p i d 必 须 可 以 找 到 相 应 进 程 ， 一 般 可 以 使 用 s s h d 的 或 者 是 b a s h 的 相 关 P I D 2 . 删 除 历 史 登 录 记 录 ( w t m p ) 删 除 前 ：
删 除 指 定 用 户 ， 指 定 h o s t 的 历 史 登 录 记 录 删 除 后 ： 3 . 添 加 w t m p 记 录 4 . 删 除 b t m p 记 录 删 除 前
h a c k e r   这 个 账 户 有 很 多 次 尝 试 登 录 记 录 删 除 后 ： 5 . 添 加 b t m p   伪 造 记 录 6 . 删 除 l a s t l o g   记 录 h a c k e r   用 户 最 后 一 次 登 录 记 录 ， 删 除 前 ：
删 除 后 ： 7 . 添 加 伪 造 的 l a s t l o g 记 录 p y t h o n   f a k e _ l o g i n _ l o g . p y   — m o d e   a d d   — t y p e = l a s t l o g   — u s e r = h a c k e r   — d a t e = ” 2 0 1 7 - 7 - 2 4   1 4 : 2 2 : 0 7
这 里 说 明 一 下 这 里 说 明 一 下 ： l a s t l o g 中 并 不 记 录 用 户 名 ， 而 是 根 据 文 件 偏 移 位 置 来 计 算 当 前 记 录 的 用 户 名 是 多 少 ， 比 如 当 前 用 户 是 f 3 ， 其 U I D 为 1 0 0 1 ， 那 么 l a s t l o g   日 志 从 头 开 始 向 后 移 动   1 0 0 1 　 × 　 L A S T _ S T R U C T _ S I Z E 处 的 位 置 则 为 f 3 用 户 最 后 一 次 登 录 记 录 写 入 处 （ 用 户 即 使 没 有 最 后 一 次 登 录 记 录 ， 在 相 应 的 偏 移 处 都 会 有 记 录 ， 这 就 是 我 们 使 用 l a s t l o g 看 到 的 n e v e r   l o g i n 的 记 录 ） 0 x 0 3 .   源 码 源 码 直 接 帖 源 码 ， 格 式 上 可 能 会 影 响 阅 读 体 验 ， 帖 下 我 的 在 线 源 码 地 址 吧 ： 点 击 打 开 在 线 源 码 0 x 0 4 .   总 结 总 结 目 前 此 工 具 可 以 实 现 对 : 进 行 删 除 ， 添 加 伪 造 记 录 功 能 ， 并 且 在 修 改 相 关 文 件 后 恢 复 其 时 间 属 性 值 （ 比 如 文 件 访 问 时 间 和 文 件 修 改 时 间 ） ， 有 人 会 说 了 ， 直 接 e c h o   “ ”   > / v a r / l o g / x t m p   不 就 行 了 吗 ， 干 嘛 这 么 麻 烦 ， 直 接 删 除 是 很 好 ， 不 过 有 点 粗 暴 。   本 工 具 不 仅 可 以 实 现 按 照   登 录 主 机 ， 登 录 用 户 ，   时 间 戳 等 条 件 进 行 按 需 删 除 ， 还 可 以 添 加 伪 造 登 录 记 录 ， 以 达 到 迷 惑 系 统 管 理 员 之 目 的 。 需 要 补 充 一 点 的 是 ， 目 前 还 未 实 现 根 据 时 间 区 间 来 删 除 指 定 记 录 ， 也 希 望 有 兴 趣 的 同 学 补 充 一 下 参 考 ： 参 考 ： * 本 文 作 者 ： 本 文 作 者 ： k n p e w g 8 5 9 4 2 ， 转 载 请 注 明 ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文 / v a r / r u n / u t m p / v a r / l o g / w t m p / v a r / l o g / b t m p / v a r / l o g / l a s t l o g 1 ） h t t p s : / / l i n u x . d i e . n e t / m a n / 5 / u t m p 2 ） h t t p s : / / g i t h u b . c o m / k r i g / l a s t l o g / b l o b / m a s t e r / l a s t l o g . c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理