搜索

[13157] 2018-09-07_安全运维之如何找到隐匿于last和w命令中的ssh登录痕迹

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-09-07_安全运维之如何找到隐匿于last和w命令中的ssh登录痕迹 安 全 运 维 之 如 何 找 到 隐 匿 于 l a s t 和 w 命 令 中 的 s s h 登 录 痕 迹 原 创   F o r r e s t X 3 8 6   F r e e B u f   2 0 1 8 - 0 9 - 0 7 * 本 文 原 创 作 者 ： F o r r e s t X 3 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 0   前 言 前 言 在 我 最 近 的 一 些 安 全 应 急 响 应 经 历 中 ， 遇 到 了 入 侵 者 利 用 一 些 小 的 有 意 思 在 我 最 近 的 一 些 安 全 应 急 响 应 经 历 中 ， 遇 到 了 入 侵 者 利 用 一 些 小 的 有 意 思 t r i c k s — — 将 自 己 的 将 自 己 的 s s h 登 录 痕 迹 隐 匿 登 录 痕 迹 隐 匿 于 于 w 和 和 l a s t 命 令 中 ， 这 对 于 一 些 经 验 不 足 或 者 没 有 相 关 意 识 的 运 维 管 理 人 员 来 说 ， 可 能 不 会 发 现 这 些 已 经 发 生 的 命 令 中 ， 这 对 于 一 些 经 验 不 足 或 者 没 有 相 关 意 识 的 运 维 管 理 人 员 来 说 ， 可 能 不 会 发 现 这 些 已 经 发 生 的 非 法 登 录 行 为 ， 亦 或 者 既 使 觉 察 出 有 点 异 常 ， 但 却 不 理 解 为 啥 能 将 非 法 登 录 行 为 ， 亦 或 者 既 使 觉 察 出 有 点 异 常 ， 但 却 不 理 解 为 啥 能 将 s s h 登 录 痕 迹 隐 匿 于 登 录 痕 迹 隐 匿 于 w 和 和 l a s t 命 令 （ 这 种 隐 匿 命 令 （ 这 种 隐 匿 不 涉 及 修 改 相 关 日 志 文 件 ） 。 不 涉 及 修 改 相 关 日 志 文 件 ） 。 本 文 将 会 为 大 家 介 绍 和 阐 述 这 种 隐 匿 登 录 痕 迹 的 手 法 以 及 如 何 确 切 的 发 现 他 们 的 痕 迹 。 本 文 将 会 为 大 家 介 绍 和 阐 述 这 种 隐 匿 登 录 痕 迹 的 手 法 以 及 如 何 确 切 的 发 现 他 们 的 痕 迹 。 0 x 0 1   正 文 正 文 1 、 现 象 及 原 理 解 释 、 现 象 及 原 理 解 释 首 先 有 一 个 正 常 的 登 录 ( b a s t i o n   登 录 至 c o d e - a u d i t ) ， 从 p t s / 0 登 录   (   1 4 : 3 1 分 正 常 登 录 ) 。 在 c o d e - a u d i t   上 输 入   w   命 令 显 示 。 在 c o d e - a u d i t   上 输 入   l a s t   命 令 显 示 。 然 后 我 利 用 一 个 小 t r i c k   将 我 的 s s h 登 录 痕 迹 隐 匿 于 w   和 l a s t   命 令 中 ， 且 看 下 图 。 在 c o d e - a u d i t   上 输 入   w   命 令 显 示 。 在 c o d e - a u d i t   上 输 入   l a s t   命 令 显 示 。
这 时 候 ， 我 们 就 会 有 以 下 疑 问 （ 黑 人 问 号 ） 。 1 ） 为 什 么 ） 为 什 么 w 和 和 l a s t 都 没 有 记 录 呢 都 没 有 记 录 呢 ? 这 是 因 为 w   命 令 显 示 信 息 来 源 于 u t m p ， l a s t   来 源 于 w t m p ， 并 不 是 所 有 程 序 登 录 的 时 候 都 会 调 用 u t m p   和 w t m p   日 志 记 录 接 口 ， 只 有 交 互 式 会 话 ， 才 会 调 用 u t m p   和   w t m p 的 日 志 记 录 接 口 ， 比 如   通 过 t t y   或 者 p t s 或 者 图 形 界 面 登 录 的 都 会 调 用 u t m p   和 w t m p   日 志 记 录 接 口 ， 然 后 我 们 在 使 用 w   和 l a s t   命 令 的 时 候 就 会 发 现 登 录 信 息 2 ） ） s s h   - l r o o t   1 9 2 . 1 6 8 . 1 2 . 5 1   / u s r / b i n / b a s h   为 什 么 不 属 于 交 互 式 会 话 为 什 么 不 属 于 交 互 式 会 话 s s h   - l r o o t   1 9 2 . 1 6 8 . 1 2 . 5 1   / u s r / b i n / b a s h   其 实 就 相 当 于 登 录 之 后 直 接 调 用 b a s h 这 个 名 ， 此 时 系 统 没 有 为 其 分 配 t t y ， 不 算 一 个 完 整 交 互 式 会 话 ， 只 不 过 b a s h   接 受 输 入 ， 然 后 有 输 出 ， 让 我 们 误 以 为 是 交 互 式 会 话 ， 其 实 不 然 ， 你 可 以 将 / u s r / b i n / b a s h   替 换 成 / u s r / b i n / l s   试 一 下 ， 就 是 简 单 执 行 以 下 就 退 出 了 还 有 一 种 看 起 来 更 像 是 交 互 式 会 话 的 ， 但 实 际 却 不 是 的 一 种 登 录 技 巧 ， 这 种 方 式 也 会 将 登 录 行 为 隐 匿 于 w   和   l a s t   命 令 - T   表 示 不 分 配 伪 终 端   （ 正 常 的 会 话 ， 在 分 配 伪 终 端 之 后 才 会 调 用 u t m p 和 w t m p 的 日 志 接 口 ） / u s r / b i n / b a s h   - i   表 示 在 登 录 之 后   调 用 b a s h 命 令 - i   表 示 是 交 互 式 s h e l l 2 、 如 何 发 现 隐 匿 的 、 如 何 发 现 隐 匿 的 s s h 登 录 行 为 登 录 行 为 如 果 是 隐 匿 的 s s h 正 在 进 行 ， 可 以 通 过 l s o f   或 者   n e t s t a t   或 者 p s   命 令 发 现 1 ） 通 过 ） 通 过 l s o f 发 觉 异 常 发 觉 异 常 s s h 登 录 登 录 两 条 已 建 立 的 连 接 ， 一 条 是 通 过 p t s / 0 正 常 登 录 的 （ 前 文 已 交 代 ） ， 一 条 就 是 隐 匿 于 w 和 l a s t 的 s s h 登 录 2 ） 通 过 p s 命 令 发 现 异 常 s s h 登 录
这 里 有 个 n o t t y 的   s s h d   进 程 ， 说 明 就 是 通 过 上 文 所 述 的 t r i c k 隐 匿 于 w 和 l a s t 命 令 的 s s h 登 录 行 为 如 果 是 历 史 s s h   隐 匿 登 录 行 为 ， 如 何 找 出 历 史 登 录 行 为 呢 通 过 分 析 / v a r / l o g / s e c u r e   日 志 （ 有 的 系 统 是 / v a r / l o g / a u t h . l o g ） 从   A c c e p t e d   p u b l i c k e y   f o r   r o o t   f r o m   1 9 2 . 1 6 8 . 1 2 . 5 4   一 行 可 以 得 出 s s h 的 登 录 时 间 从 D i s c o n n e c t e d   f r o m   1 9 2 . 1 6 8 . 1 2 . 5 4   p o r t   4 3 0 0 0   一 行 可 以 得 出 s s h 的 退 出 时 间 如 果 从 s e c u r e 中 的 分 析 结 果 和   l a s t   对 不 上 ， 那 么 这 些 对 不 上 的 登 录 行 为 有 可 能 就 是 通 过 本 文 所 介 绍 的 隐 匿 方 式 登 录 的 0 x 0 2 .   总 结 总 结 其 实 像 s c p   、 s f t p   等 也 涉 及 到 s s h 登 录 ， 但 却 不 会 在 w   和 l a s t 中 留 下 日 志 的 程 序 ， 也 都 是 因 为 他 们 不 输 入 交 互 式 会 话 。 希 望 本 文 能 给 大 家 带 来 帮 助 本 文 涉 及 重 要 参 考 资 料 如 下 h t t p s : / / n e w s . y c o m b i n a t o r . c o m / i t e m ? i d = 1 9 3 7 1 3 9 h t t p s : / / u n i x . s t a c k e x c h a n g e . c o m / q u e s t i o n s / 2 0 0 7 0 / u s e r - l o g g e d - i n - b y - s f t p - d o e s - n o t - s h o w - u p - i n - w * 本 文 原 创 作 者 ： F o r r e s t X 3 8 6 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理