搜索

[20363] 2020-08-20_日志和应急的那些事

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-20_日志和应急的那些事 日 志 和 应 急 的 那 些 事 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 2 0 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 海 岸 线 突 击 队 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   6 3   篇 文 章 。 全 文 共 计 7 4 5 3 个 字 ， 预 计 阅 读 时 长 2 0 分 钟 。 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 概 述 如 果 把 应 急 响 应 人 员 ， 比 作 是 医 生 的 话 ， 那 日 志 就 是 病 人 的 自 我 症 状 描 述 ， 越 详 细 ， 越 能 了 解 病 人 的 情 况 ， 安 全 也 是 一 样 ， 一 个 系 统 可 能 有 很 多 疑 难 杂 症 ， 但 只 要 了 解 足 够 多 的 信 息 ， 就 能 对 症 下 药 ， 在 医 生 看 病 时 病 人 的 描 述 和 化 验 单 上 的 数 据 对 医 生 是 非 常 重 要 的 。 同 理 日 志 在 安 全 专 家 中 的 作 用 也 是 类 似 的 。 常 见 的 日 志 分 析 手 段 ， 就 是 人 工 手 动 命 令 分 析 ， 自 我 编 写 脚 本 进 行 分 析 ， 或 者 是 使 用 开 源 工 具 进 行 分 析 ， 找 出 系 统 的 薄 弱 点 ， 外 部 的 攻 击 手 段 ， 入 侵 的 痕 迹 ， 溯 源 ， 甚 至 从 日 志 中 发 现 0 d a y ， 下 面 浅 谈 这 三 种 方 式 。 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 手 动 日 志 分 析 简 述 简 述 对 于 手 工 日 志 排 查 ， 只 要 s h e l l 玩 的 溜 ， L i n u x 的 三 剑 客 能 够 胜 任 大 部 分 工 作 需 求 。 这 部 分 很 多 安 全 人 员 都 了 解 。 优 点 简 单 高 效 ， 能 初 步 分 析 ， 不 需 要 一 些 额 外 的 工 具 。 缺 点 也 是 很 明 显 ， 不 能 大 规 模 分 析 ， 需 要 一 台 台 去 看 ， 需 要 对 命 令 使 用 特 别 熟 悉 ， 对 新 手 不 太 友 好 ， 工 作 量 比 较 大 。 简 单 分 析 一 个 靶 机 测 试 案 例 ： 简 单 分 析 一 个 靶 机 测 试 案 例 ： 使 用 a w k 来 将 日 志 里 面 的 所 有 的 I P 筛 选 出 来 保 存 到 一 个 文 本 文 档 中 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！ a w k     ' { p r i n t   $ 1 } '   a c c e s s . l o g     > i p . t x t
将 i p . t x t   文 件 中 的 I P 进 行 排 序 ， 去 重 和 计 数 。 这 个   1 9 2 . 1 6 8 . 2 . 7   I P 访 问 次 数 过 多 ， 肯 定 是 有 问 题 的 , 后 续 对 这 个 i p 进 行 重 点 排 查 。 根 据 上 面 发 现 i p   1 9 2 . 1 6 8 . 2 . 7   短 时 间 对 目 标 网 站 发 起 了 大 量 的 请 求 。 s o r t   i p . t x t   | u n i q     - c
在 这 里 可 以 看 到 报 出 了 大 量 的 4 0 4 ， 请 求 方 式 为 H E A D ， 根 据 这 些 可 以 判 断 。 1 9 2 . 1 6 8 . 2 . 7 这 个 I P 在 2 0 2 0 年 7 月 1 8 日 1 4 : 2 0 : 2 3 对 网 站 进 行 了 扫 描 ， 以 此 来 判 断 网 站 存 在 的 一 些 敏 感 文 件 。 从 下 面 日 志 可 以 看 出 攻 击 i p 访 问 登 录 接 口 ， 进 行 爆 破 ， 并 在   2 0 2 0 年 7 月 1 8 日 1 6 : 2 9 : 3 5   爆 破 成 功 ， 进 行 登 录 ， 日 志 状 态 返 回 2 0 0 。
访 问 了 p h p i n f o 敏 感 文 件 。 一 般 的 攻 击 者 登 录 成 功 后 ， 在 后 台 一 般 都 是 找 上 传 点 或 者 命 令 执 行 的 地 方 获 取 s h e l l 。 不 想 获 取 s h e l l 的 黑 客 ( Q V Q 你 懂 的 ) 。 匹 配 路 由 关 于 u p l o a d   关 键 词 日 志 发 现 攻 击 者 已 成 功 上 传 s h e l l . p h p 文 件 。
对 s h e l l . p h p   文 件 进 行 查 看 ， 发 现 是 冰 蝎 木 马 。 后 续 需 要 对 主 机 入 侵 痕 迹 进 行 排 查 。 （ 下 文 以 编 写 脚 本 的 方 式 进 行 简 单 的 逐 项 检 测 ） 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 编 写 脚 本 进 行 分 析 简 述 简 述 编 写 脚 本 可 以 对 一 些 检 测 的 项 进 行 自 动 化 处 理 ， 减 少 任 务 量 ， 有 可 重 复 性 等 优 点 。 缺 点 对 安 全 人 员 要 求 一 定 的 编 码 能 力 ， 脚 本 要 进 行 大 量 测 试 ， 毕 竟 服 务 器 挂 了 这 个 风 险 谁 也 承 担 不 起 。 开 源 项 目 开 源 项 目 网 上 有 很 多 优 秀 开 源 的 项 目 。 注 意 事 项 注 意 事 项 如 何 编 写 一 个 速 度 快 ， 扫 描 占 用 资 源 少 ， 对 系 统 没 有 危 害 的 的 扫 描 脚 本 呢 ？ 首 先 要 注 意 以 下 几 件 事 ： 1 .   只 需 读 文 件 ， 不 要 做 修 改 文 件 操 作 2 .   尽 量 不 要 用 多 层 递 归 ， 循 环 。 h t t p s : / / g i t h u b . c o m / B y p a s s 0 0 7 / E m e r g e n c y - R e s p o n s e - N o t e s h t t p s : / / g i t h u b . c o m / g r a y d d q / G S c a n . g i t
3 .   异 常 处 理 。 4 .   输 出 的 格 式 化 。 5 .   脚 本 运 行 权 限 最 好 不 要 用 r o o t 6 .   使 用 系 统 自 带 的 命 令 或 者 工 具 ， 兼 容 各 L i n u x 发 行 版 本 。 下 面 自 己 编 写 的 测 试 代 码 主 要 的 功 能 ： 下 面 自 己 编 写 的 测 试 代 码 主 要 的 功 能 ： •   口 令 生 存 周 期 检 查 •   令 更 改 最 少 时 间 间 隔 •   口 令 最 小 长 度 •   检 查 空 弱 口 令 •   检 查 s u d o 权 限 异 常 用 户 •   检 查 特 权 用 户 组 •   口 令 过 期 警 告 时 间 天 数 •   找 非 r o o t 账 号 U I D 为 0 的 账 号 •   检 查 是 否 允 许 r o o t 账 号 登 录 •   检 查 是 否 开 启 日 志 审 计 a u d i t d •   历 史 命 令 保 存 的 最 大 条 数 检 测 •   检 查 是 否 开 启 t e l n e t •   检 查 是 否 开 启 n f s 服 务 •   检 查 重 要 系 统 文 件 权 限 •   检 查 免 密 码 登 录 P y t h o n 代 码 代 码 # c o d i n g : u t f - 8 i m p o r t   o s i m p o r t   j s o n c l a s s   L i n u x _ C h e c k :     d e f     _ _ i n i t _ _ ( s e l f ) :         i p a d d = " i f c o n f i g   - a   |   g r e p   B c a s t   |   a w k   - F   " [   : ] + "   ' { p r i n t   $ 4 } ' "         s e l f . p a s s m a x = " c a t   / e t c / l o g i n . d e f s   |   g r e p   P A S S _ M A X _ D A Y S   |   g r e p   - v   ^ #   |   a w k   ' { p r i n t   $ 2 } ' "         s e l f . p a s s m i n = " c a t   / e t c / l o g i n . d e f s   |   g r e p   P A S S _ M I N _ D A Y S   |   g r e p   - v   ^ #   |   a w k   ' { p r i n t   $ 2 } ' "         s e l f . p a s s l e n = " c a t   / e t c / l o g i n . d e f s   |   g r e p   P A S S _ M I N _ L E N   |   g r e p   - v   ^ #   |   a w k   ' { p r i n t   $ 2 } ' "         s e l f . p a s s a g e = " c a t   / e t c / l o g i n . d e f s   |   g r e p   P A S S _ W A R N _ A G E   |   g r e p   - v   ^ #   |   a w k   ' { p r i n t   $ 2 } ' "         s e l f . u i d = " a w k   - F [ : ]   ' N R ! = 1 { p r i n t   $ 3 } '   / e t c / p a s s w d "         s e l f . s s h d _ c o n f i g = " c a t   / e t c / s s h / s s h d _ c o n f i g   |   g r e p   - v   ^ #   | g r e p   ' P e r m i t R o o t L o g i n   n o ' "         s e l f . b a s h _ h i s t r o r y = " c a t   / e t c / p r o f i l e | g r e p   H I S T S I Z E | h e a d   - 1 | a w k   - F [ = ]   ' { p r i n t   $ 2 } ' "         s e l f . R e s u l t = [ ]         s e l f . s s h _ a u t h o r i z e d _ u s e r = { } # #   口 令 生 存 周 期 检 查     d e f     c h e c k _ p a s s m a x ( s e l f ) :                 r e s u l t =   { " n a m e " : " 口 令 生 存 周 期 检 查 " ,   " l e v e l " : " m i d d l e " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / l o g i n . d e f s " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [ " "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( s e l f . p a s s m a x ) . r e a d ( )                         i f   0 <   i n t ( s h e l l _ p r o c e s s ) < = 9 0 :                               r e s u l t [ " m s g " ] = " 口 令 生 成 周 期 为 % s "   % s h e l l _ p r o c e s s                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 口 令 生 成 周 期 为 % s "   % s h e l l _ p r o c e s s                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   口 令 更 改 最 少 时 间 间 隔     d e f     c h e c k _ p a s s m i n ( s e l f ) :                 r e s u l t =   { " n a m e " : " 口 令 更 改 最 少 时 间 间 隔 " ,   " l e v e l " : " m i d d l e " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / l o g i n . d e f s " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( s e l f . p a s s m i n ) . r e a d ( )                         i f   i n t ( s h e l l _ p r o c e s s ) > = 6 :                               r e s u l t [ " m s g " ] = " 口 令 更 改 最 小 时 间 间 隔 为 % s 天 ， 符 合 要 求 "   % s h e l l _ p r o c e s s                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 口 令 更 改 最 小 时 间 间 隔 为 % s 天 ， 不 符 合 要 求 ， 建 议 设 置 大 于 等 于 6 天 "   % s h e l l _ p r o c e s s                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   口 令 最 小 长 度     d e f     c h e c k _ p a s s l e n ( s e l f ) :                 r e s u l t =   { " n a m e " : " 口 令 最 小 长 度 " ,   " l e v e l " : " m i d d l e " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / l o g i n . d e f s " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [ " " ] ,
                r e s u l t =   { " n a m e " : " 口 令 最 小 长 度 " ,   " l e v e l " : " m i d d l e " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / l o g i n . d e f s " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [ " " ] ,                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( s e l f . p a s s l e n ) . r e a d ( )                         i f   i n t ( s h e l l _ p r o c e s s ) > = 8 :                               r e s u l t [ " m s g " ] = " 口 令 最 小 长 度 为 % s , 符 合 要 求 "   % s h e l l _ p r o c e s s                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 令 最 小 长 度 为 % s , 不 符 合 要 求 ， 建 议 设 置 最 小 长 度 大 于 等 于 8 "   % s h e l l _ p r o c e s s                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 空 弱 口 令     d e f     c h e c k _ e m p t y ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 空 弱 口 令 " ,   " l e v e l " : " c r i t i c a l " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / s h a d o w " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [ " " ] , " p r o t o c o l "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( " a w k   - F :   ' l e n g t h ( $ 2 ) = = 0   { p r i n t   $ 1 } '   / e t c / s h a d o w   2 > / d e v / n u l l " ) . r e a d ( ) . s p l i t l i n e s ( )                         i f   n o t     s h e l l _ p r o c e s s :                                 r e s u l t [ " m s g " ] = " 不 存 在 空 弱 口 令 账 户 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 存 在 空 弱 口 令 账 户 % s " % s t r ( s h e l l _ p r o c e s s )                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 s u d o 权 限 异 常 用 户     d e f     c h e c k _ s u d o ( s e l f ) :                         r e s u l t =   { " n a m e " : " 检 查 s u d o 权 限 异 常 用 户 " ,   " l e v e l " : " c r i t i c a l " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / s u d o e r s " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d "                         t r y :                                 s h e l l _ p r o c e s s   =   o s . p o p e n ( " c a t   / e t c / s u d o e r s   2 > / d e v / n u l l   | g r e p   - v   ' # ' | g r e p   ' A L L = ( A L L ) ' | a w k   ' { p r i n t   $ 1 } ' " ) . r e a d ( ) . s p l i t l i n e s ( )                                 u s e r i n f o = [ ]                                 f o r   u s e r   i n   s h e l l _ p r o c e s s :                                         i f   u s e r . r e p l a c e ( " n " ,   " " )   ! =   ' r o o t ' :                                             u s e r i n f o . a p p e n d ( u s e r )                                 i f   n o t   u s e r i n f o :                                         r e s u l t [ " m s g " ] = " 不 存 在 s d u o 特 权 异 常 用 户 "                                 e l s e :                                         r e s u l t [ " c h e c k " ] = F a l s e                                         r e s u l t [ " m s g " ] = " 存 在 s u d o 权 限 异 常 用 户 % s " % s t r ( u s e r i n f o )                         e x c e p t   E x c e p t i o n   a s   e :                                 r e s u l t [ " e r r o r " ] = s t r ( e )                         f i n a l l y :                                 s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 特 权 用 户 组     d e f     c h e c k _ g i d ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 特 权 用 户 组 " ,   " l e v e l " : " c r i t i c a l " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / p a s s w d " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [ " " ] , " p r o t o c o l "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( " c a t   / e t c / p a s s w d   |   g r e p   ' / b i n / b a s h '   |   a w k   - F :   ' $ 4 = = 0   { p r i n t   $ 1 } '   2 > / d e v / n u l l " ) . r e a d ( ) . s p l i t l i n e s ( )                         u s e r i n f o = [ ]                         f o r   u s e r   i n   s h e l l _ p r o c e s s :                                 i f   u s e r . r e p l a c e ( " n " ,   " " )   ! =   ' r o o t ' :                                       u s e r i n f o . a p p e n d ( u s e r )                         i f   n o t   u s e r i n f o :                               r e s u l t [ " m s g " ] = " 不 存 在 特 权 组 用 户 "                         e l s e :                               r e s u l t [ " c h e c k " ] = F a l s e                               r e s u l t [ " m s g " ] = " 存 在 特 权 组 用 户 % s " % s t r ( u s e r i n f o )                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   口 令 过 期 警 告 时 间 天 数     d e f     c h e c k _ p a s s a g e ( s e l f ) :                 r e s u l t =   { " n a m e " : " 口 令 过 期 警 告 时 间 天 数 " ,   " l e v e l " : " i n f o " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / l o g i n . d e f s " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( s e l f . p a s s a g e ) . r e a d ( )                         i f   i n t ( s h e l l _ p r o c e s s ) > = 3 0 :                               r e s u l t [ " m s g " ] = " 口 令 过 期 警 告 时 间 天 数 为 % s , 符 合 要 求 "   % s h e l l _ p r o c e s s                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 口 令 过 期 警 告 时 间 天 数 为 % s , 不 符 合 要 求 ， 建 议 设 置 大 于 等 于 3 0 并 小 于 口 令 生 存 周 期 "   % s h e l l _ p r o c e s s                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t )
# #   找 非 r o o t 账 号 U I D 为 0 的 账 号     d e f     c h e c k _ u i d ( s e l f ) :                 r e s u l t =   { " n a m e " : " 查 找 非 r o o t 账 号 U I D 为 0 的 账 号 " ,   " l e v e l " : " c r i t i c a l " , " s e r v i c e " : [ " s s h " , " s s h d " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / p a s s w d " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( s e l f . u i d ) . r e a d ( ) . s p l i t l i n e s ( )                         i f   " 0 "   n o t   i n   s h e l l _ p r o c e s s :                               r e s u l t [ " m s g " ] = " 不 存 在 非 r o o t 账 号 的 账 号 U I D 为 0 ， 符 合 要 求 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 存 在 非 r o o t 账 号 的 账 号 U I D 为 0 ， 不 符 合 要 求 "                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 是 否 允 许 r o o t 账 号 登 录     d e f     c h e c k _ s s h d c o n f i g ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 是 否 允 许 r o o t 账 号 登 录 " ,   " l e v e l " : " h i g h " , " s e r v i c e " : [ " s s h " , " s s h d " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / s s h / s s h d _ c o n f i g " ] , " p o r t " : [ " 2 2 " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( s e l f . s s h d _ c o n f i g ) . r e a d ( ) . s p l i t l i n e s ( )                         i f     s h e l l _ p r o c e s s :                               r e s u l t [ " m s g " ] = " r o o t 不 能 程 登 录 符 合 要 求 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " r o o t 用 户 可 以 远 程 登 录 不 符 合 要 求 "                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 是 否 开 启 日 志 审 计 a u d i t d     d e f     c h e c k _ a u d i t d ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 是 否 开 启 日 志 审 计 a u d i t d " ,   " l e v e l " : " h i g h " , " s e r v i c e " : [ " a u d i t d " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / s s h / s s h d _ c o n f i g " ] , " p o r t " : [ " 2 2 " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( " s e r v i c e   a u d i t d   s t a t u s " ) . r e a d ( ) . s p l i t l i n e s ( )                         f o r   i n f o   i n     s h e l l _ p r o c e s s :                               i f   " A c t i v e :   a c t i v e   ( r u n n i n g ) "   i n   i n f o :                                     r e s u l t [ " m s g " ] = " 开 启 了 日 志 审 计 a u d i t d "                                     r e s u l t [ " c h e c k " ] = T r u e                                     b r e a k                               e l s e :                                         r e s u l t [ " c h e c k " ] = F a l s e                                         r e s u l t [ " m s g " ] = " 没 有 开 启 日 志 审 计 a u d i t d "                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   历 史 命 令 保 存 的 最 大 条 数 检 测     d e f     c h e c k _ b a s h _ h i s t o r y ( s e l f ) :                 r e s u l t =   { " n a m e " : " 历 史 命 令 保 存 的 最 大 条 数 检 测 " ,   " l e v e l " : " h i g h " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / p r o f i l e " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d "                 t r y :                         s h e l l _ p r o c e s s   =   o s . p o p e n ( s e l f . b a s h _ h i s t r o r y ) . r e a d ( ) . s p l i t l i n e s ( ) [ 0 ]                         i f   i n t   ( s h e l l _ p r o c e s s ) < = 5 0 0 :                               r e s u l t [ " m s g " ] = " 历 史 保 存 的 最 大 命 令 条 数 符 合 要 求 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 历 史 保 存 的 最 大 命 令 条 数 超 过 5 0 0 条 不 符 合 要 求 "                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 是 否 开 启 t e l n e t     d e f     c h e c k _ o p e n _ T e l n e t ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 是 否 开 启 t e l n e t " ,   " l e v e l " : " h i g h " , " s e r v i c e " : [ " t e l n e t " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " / e t c / x i n e t d . d / t e l n e t " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [                 t r y :                         s h e l l _ p r o c e s s = o s . p o p e n ( " c a t   / e t c / x i n e t d . d / t e l n e t   |   g r e p   d i s a b l e   |   a w k   ' { p r i n t   $ 3 } ' " ) [ 0 ]                         i f   s h e l l _ p r o c e s s ! = " y e s " :                               r e s u l t [ " m s g " ] = " 没 有 开 启 T e l n e t 服 务 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 开 启 了 t e l n e t 服 务 "                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   查 是 否 开 启 n f s 服 务     d e f     c h e c k _ o p e n _ n f s ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 是 否 开 启 n f s 服 务 " ,   " l e v e l " : " h i g h " , " s e r v i c e " : [ " N F S " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [ " " ] , " p r o t o c o l "
                r e s u l t =   { " n a m e " : " 检 查 是 否 开 启 n f s 服 务 " ,   " l e v e l " : " h i g h " , " s e r v i c e " : [ " N F S " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t " : [ " " ] , " p i d " : [ " " ] , " p r o t o c o l "                 t r y :                         s h e l l _ p r o c e s s = o s . p o p e n ( " c h k c o n f i g   - - l i s t   n f s   | g r e p   o n " ) . r e a d ( ) . s p l i t l i n e s ( )                         i f   n o t     s h e l l _ p r o c e s s :                               r e s u l t [ " m s g " ] = " 没 有 开 启 n f s 服 务 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 开 启 了 n f s 服 务 "                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 重 要 系 统 文 件 权 限     d e f     c h e c k _ f i l e _ a n a l y s i s ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 重 要 系 统 文 件 权 限 " ,   " l e v e l " : " h i g h " , " s e r v i c e " : [ " " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ ' / e t c / p a s s w d ' ,   ' / e t c / s h a d o w ' , ' / e t c / g r o u p ' , ' / e t c / s e c u r e t t y ' , ' / e t c / s e r v i c e s '                 t r y :                         f i l e s   =   [ ' / e t c / p a s s w d ' ,   ' / e t c / s h a d o w ' , ' / e t c / g r o u p ' , ' / e t c / s e c u r e t t y ' , ' / e t c / s e r v i c e s ' , ' / e t c / x i n e t d . c o n f ' , ' / e t c / g r u b . c o n f ' , ' / e t c / l i l o . c o n f ' ]                         f i l e _ i n f o = [ ]                         f o r   f i l e   i n   f i l e s :                                 i f   n o t   o s . p a t h . e x i s t s ( f i l e ) :   c o n t i n u e                                 s h e l l _ p r o c e s s   =   o s . p o p e n ( " l s   - l   "   +   f i l e   +   "   2 > / d e v / n u l l   | a w k   ' { p r i n t   $ 1 } ' " ) . r e a d ( ) . s p l i t l i n e s ( )                                 i f   l e n ( s h e l l _ p r o c e s s )   ! =   1 :   c o n t i n u e                                 i f   f i l e   = =   ' / e t c / p a s s w d '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - r w - r - - r - - ' :                                         i n f o =   " / e t c / p a s s w d   文 件 权 限 变 更 " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                                 e l i f   f i l e   = =   ' / e t c / s h a d o w '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - - - - - - - - - - ' :                                         i n f o = " / e t c / s h a d o w   文 件 权 限 变 更 " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                                 e l i f   f i l e   = =   ' / e t c / g r o u p '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - r w - r - - r - - ' :                                         i n f o =   " / e t c / g r o u p   文 件 权 限 变 更 % s " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                                 e l i f   f i l e   = =   ' / e t c / s e c u r e t t y '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - r w - - - - - - - ' :                                         i n f o =   " / e t c / s e c u r e t t y   文 件 权 限 变 更 " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                                 e l i f   f i l e   = =   ' / e t c / s e r v i c e s '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - r w - - - - - - - ' :                                         i n f o =   " / e t c / s e r v i c e s   文 件 权 限 变 更 " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                                 e l i f   f i l e   = =   ' / e t c / x i n e t d . c o n f '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - r w - - - - - - - ' :                                         i n f o =   " / e t c / x i n e t d . c o n f   文 件 权 限 变 更 " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                                 e l i f   f i l e   = =   ' / e t c / g r u b . c o n f '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - r w - - - - - - - ' :                                         i n f o =   " / e t c / g r u b . c o n f   文 件 权 限 变 更 " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                                 e l i f   f i l e   = =   ' / e t c / l i l o . c o n f '   a n d   s h e l l _ p r o c e s s [ 0 ]   ! =   ' - r w - - - - - - - ' :                                         i n f o = " / e t c / l i l o . c o n f   文 件 权 限 变 更 " , s h e l l _ p r o c e s s [ 0 ]                                         f i l e _ i n f o . a p p e n d ( i n f o )                         i f     n o t   f i l e _ i n f o :                                   r e s u l t [ " m s g " ] = " 重 要 系 统 文 件 权 限 没 有 变 更 。 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 文 件 权 限 发 生 变 更 % s " % s t r ( f i l e _ i n f o )                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t ) # #   检 查 免 密 码 登 录     d e f   c h e c k _ a u t h o r i z e d _ k e y s ( s e l f ) :                 r e s u l t =   { " n a m e " : " 检 查 s s h 免 密 码 登 录 " ,   " l e v e l " : " c r i t i c a l " , " s e r v i c e " : [ " s s h d " , " s s h " ] , " u s e r " : [ " r o o t " ] , " f i l e n a m e " : [ " . s s h / a u t h o r i z e d _ k e y s " ] , " p o r t " : [ " " ] , " s r c _ p o r t " : [ " " ] , " d e s t _ p o r t "                 t r y :                         f o r   d i r   i n   o s . l i s t d i r ( ' / h o m e / ' ) :                                   s e l f . f i l e _ a n a l y s i s (   o s . p a t h . j o i n ( ' % s % s % s '   %   ( ' / h o m e / ' ,   d i r ,   ' / . s s h / a u t h o r i z e d _ k e y s ' ) ) , d i r )                         s e l f . f i l e _ a n a l y s i s ( ' / r o o t / . s s h / a u t h o r i z e d _ k e y s ' ,   ' r o o t ' )                         i f     n o t     s e l f . s s h _ a u t h o r i z e d _ u s e r :                                   r e s u l t [ " m s g " ] = " 不 存 在 免 密 码 登 录 "                         e l s e :                                 r e s u l t [ " c h e c k " ] = F a l s e                                 r e s u l t [ " m s g " ] = " 存 在 免 密 码 登 录 % s " % s t r ( s e l f . s s h _ a u t h o r i z e d _ u s e r )                 e x c e p t   E x c e p t i o n   a s   e :                         r e s u l t [ " e r r o r " ] = s t r ( e )                 f i n a l l y :                         s e l f . R e s u l t . a p p e n d ( r e s u l t )       #   分 析 a u t h o r i z e d _ k e y s 文 件     d e f   f i l e _ a n a l y s i s ( s e l f ,   f i l e ,   u s e r ) :                 t r y :                         i f   o s . p a t h . e x i s t s ( f i l e ) :                                 s h e l l _ p r o c e s s   =   o s . p o p e n ( " c a t   "   +   f i l e   +   "   2 > / d e v / n u l l   | a w k   ' { p r i n t   $ 3 } ' " ) . r e a d ( ) . s p l i t l i n e s ( )                               #   p r i n t   ( s h e l l _ p r o c e s s )                                 i f     s h e l l _ p r o c e s s :
运 行 结 果 运 行 结 果 运 行 的 结 果 ， 进 行 了 格 式 化 处 理 ， 返 回 J S O N 字 符 串 ， 并 对 进 程 p i d ， 服 务 s e r v e r , 源 端 口 ， 目 标 端 口 ， 协 议 ， 用 户 ， 文 件 等 这 些 基 本 而 重 要 的 特 性 进 行 分 类 标 注 。 方 便 如 果 做 大 规 模 分 析 的 时 候 ， 可 以 把 几 个 单 一 事 件 通 过 这 些 标 注 ， 基 本 特 性 关 联 起 来 形 成 一 个 溯 源 流 程 。 （ 说 实 话 有 点 太 难 了 o ( ╥ ﹏ ╥ ) o ） 。 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 开 源 工 具 进 行 分 析 简 述 简 述 开 源 的 工 具 ， 网 上 有 很 多 ， 目 前 的 有 驭 龙 ， o s s e c ， 和 已 经 封 装 的 w a z u h ， o s q u e r y 都 是 可 以 做 到 。 试 想 一 个 场 景 ， 一 个 客 户 想 收 集 1 0 0 台 开 放 公 网 的 服 务 器 的 应 用 日 志 ， 而 这 些 机 器 都 部 署 在 某 平 台 的 云 上 ， 而 不 是 本 地 机 房 ， 如 何 去 实 现 ， 可 能 想 到 的 办 法 是 日 志 分 析 平 台 ， 基 于 端 口 镜                                 i f     s h e l l _ p r o c e s s :                                         s e l f . s s h _ a u t h o r i z e d _ u s e r [ f i l e ] = s h e l l _ p r o c e s s                                         # p r i n t   ( s e l f . s s h _ a u t h o r i z e d _ u s e r )                                         r e t u r n                 e x c e p t :                         r e t u r n     d e f   r u n ( s e l f ) :         s e l f . c h e c k _ p a s s m a x ( )         s e l f . c h e c k _ p a s s m i n ( )         s e l f . c h e c k _ p a s s l e n ( )         s e l f . c h e c k _ p a s s a g e ( )         s e l f . c h e c k _ u i d ( )         s e l f . c h e c k _ s s h d c o n f i g ( )         s e l f . c h e c k _ a u d i t d ( )         s e l f . c h e c k _ b a s h _ h i s t o r y ( )         s e l f . c h e c k _ o p e n _ T e l n e t ( )         s e l f . c h e c k _ e m p t y ( )         s e l f . c h e c k _ g i d ( )         s e l f . c h e c k _ s u d o ( )         s e l f . c h e c k _ o p e n _ n f s ( )         s e l f . c h e c k _ f i l e _ a n a l y s i s ( )         s e l f . c h e c k _ a u t h o r i z e d _ k e y s ( ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         o b j = L i n u x _ C h e c k ( )         o b j . r u n ( )         p r i n t   ( j s o n . d u m p s ( o b j . R e s u l t , e n c o d i n g = ' U T F - 8 ' ,   e n s u r e _ a s c i i = F a l s e ) )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理