搜索

[915] 2019-06-10_Linux日志安全分析技巧

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2019-06-10_Linux日志安全分析技巧 L i n u x 日 志 安 全 分 析 技 巧 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 6 - 1 0 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 我 正 在 整 理 一 个 项 目 ， 收 集 和 汇 总 了 一 些 应 急 响 应 案 例 （ 不 断 更 新 中 ） 。 本 文 主 要 介 绍 L i n u x 日 志 分 析 的 技 巧 ， 更 多 详 细 信 息 请 访 问 G i t h u b 地 址 ， 欢 迎 S t a r 。 0 x 0 1   日 志 简 介 L i n u x 系 统 拥 有 非 常 灵 活 和 强 大 的 日 志 功 能 ， 可 以 保 存 几 乎 所 有 的 操 作 记 录 ， 并 可 以 从 中 检 索 出 我 们 需 要 的 信 息 。 本 文 简 介 一 下 L i n u x 系 统 日 志 及 日 志 分 析 技 巧 。 日 志 默 认 存 放 位 置 ： / v a r / l o g / 查 看 日 志 配 置 情 况 ： m o r e   / e t c / r s y s l o g . c o n f 日 志 文 件 日 志 文 件 说 明 说 明 / v a r / l o g / c r o n 记 录 了 系 统 定 时 任 务 相 关 的 日 志 / v a r / l o g / c u p s 记 录 打 印 信 息 的 日 志 / v a r / l o g / d m e s g 记 录 了 系 统 在 开 机 时 内 核 自 检 的 信 息 ， 也 可 以 使 用 d m e s g 命 令 直 接 查 看 内 核 自 检 信 息 / v a r / l o g / m a i l o g 记 录 邮 件 信 息 / v a r / l o g / m e s s a g e 记 录 系 统 重 要 信 息 的 日 志 。 这 个 日 志 文 件 中 会 记 录 L i n u x 系 统 的 绝 大 多 数 重 要 信 息 ， 如 果 系 统 出 现 问 题 时 ， 首 先 要 检 查 的 就 应 该 是 这 个 日 志 文 件 / v a r / l o g / b t m p 记 录 错 误 登 录 日 志 ， 这 个 文 件 是 二 进 制 文 件 ， 不 能 直 接 v i 查 看 ， 而 要 使 用 l a s t b 命 令 查 看 / v a r / l o g / l a s t l o g 记 录 系 统 中 所 有 用 户 最 后 一 次 登 录 时 间 的 日 志 ， 这 个 文 件 是 二 进 制 文 件 ， 不 能 直 接 v i ， 而 要 使 用 l a s t l o g 命 令 查 看 / v a r / l o g / w t m p 永 久 记 录 所 有 用 户 的 登 录 、 注 销 信 息 ， 同 时 记 录 系 统 的 启 动 、 重 启 、 关 机 事 件 。 同 样 这 个 文 件 也 是 一 个 二 进 制 文 件 ， 不 能 直 接 v i ， 而 需 要 使 用 l a s t 命 令 来 查 看 / v a r / l o g / u t m p 记 录 当 前 已 经 登 录 的 用 户 信 息 ， 这 个 文 件 会 随 着 用 户 的 登 录 和 注 销 不 断 变 化 ， 只 记 录 当 前 登 录 用 户 的 信 息 。 同 样 这 个 文 件 不 能 直 接 v i ， 而 要 使 用 w , w h o , u s e r s 等 命 令 来 查 询 / v a r / l o g / s e c u r e 记 录 验 证 和 授 权 方 面 的 信 息 ， 只 要 涉 及 账 号 和 密 码 的 程 序 都 会 记 录 ， 比 如 S S H 登 录 ， s u 切 换 用 户 ， s u d o 授 权 ， 甚 至 添 加 用 户 和 修 改 用 户 密 码 都 会 记 录 在 这 个 日 志 文 件 中 比 较 重 要 的 几 个 日 志 ：   登 录 失 败 记 录 ： / v a r / l o g / b t m p           / / l a s t b   最 后 一 次 登 录 ： / v a r / l o g / l a s t l o g     / / l a s t l o g   登 录 成 功 记 录 :   / v a r / l o g / w t m p           / / l a s t   登 录 日 志 记 录 ： / v a r / l o g / s e c u r e     目 前 登 录 用 户 信 息 ： / v a r / r u n / u t m p     / / w 、 w h o 、 u s e r s 历 史 命 令 记 录 ： h i s t o r y   仅 清 理 当 前 用 户 ： h i s t o r y   - c 0 x 0 2   日 志 分 析 技 巧 A 、 常 用 的 、 常 用 的 s h e l l 命 令 命 令 L i n u x 下 常 用 的 s h e l l 命 令 如 ： f i n d 、 g r e p   、 e g r e p 、 a w k 、 s e d 小 技 巧 ： 1 、 g r e p 显 示 前 后 几 行 信 息 : • 标 准 u n i x / l i n u x 下 的 g r e p 通 过 下 面 參 数 控 制 上 下 文 ： • g r e p   - C   5   f o o   f i l e   显 示 f i l e 文 件 里 匹 配 f o o 字 串 那 行 以 及 上 下 5 行 • g r e p   - B   5   f o o   f i l e   显 示 f o o 及 前 5 行 • g r e p   - A   5   f o o   f i l e   显 示 f o o 及 后 5 行 • 查 看 g r e p 版 本 号 的 方 法 是 G i t H u b   地 址 ： h t t p s : / / g i t h u b . c o m / B y p a s s 0 0 7 / E m e r g e n c y - R e s p o n s e - N o t e s
• g r e p   - V 2 、 g r e p   查 找 含 有 某 字 符 串 的 所 有 文 件 g r e p   - r n   " h e l l o , w o r l d ! " *   :   表 示 当 前 目 录 所 有 文 件 ， 也 可 以 是 某 个 文 件 名 - r   是 递 归 查 找 - n   是 显 示 行 号 - R   查 找 所 有 文 件 包 含 子 目 录 - i   忽 略 大 小 写 3 、 如 何 显 示 一 个 文 件 的 某 几 行 ： c a t   i n p u t _ f i l e   |   t a i l   - n   + 1 0 0 0   |   h e a d   - n   2 0 0 0 # 从 第 1 0 0 0 行 开 始 ， 显 示 2 0 0 0 行 。 即 显 示 1 0 0 0 ~ 2 9 9 9 行 4 、 f i n d   / e t c   - n a m e   i n i t / / 在 目 录 / e t c 中 查 找 文 件 i n i t 5 、 只 是 显 示 / e t c / p a s s w d 的 账 户 ` c a t   / e t c / p a s s w d   | a w k     - F   ' : '     ' { p r i n t   $ 1 } ' `     / / a w k   - F 指 定 域 分 隔 符 为 ' : ' ， 将 记 录 按 指 定 的 域 分 隔 符 划 分 域 ， 填 充 域 ， • $ 0 则 表 示 所 有 域 , $ 1 表 示 第 一 个 域 , • $ n 表 示 第 n 个 域 。 6 、 s e d   - i   ' 1 5 3 , $ d '   . b a s h _ h i s t o r y 删 除 历 史 操 作 记 录 ， 只 保 留 前 1 5 3 行 B 、 日 志 分 析 技 巧 、 日 志 分 析 技 巧 A 、 、 / v a r / l o g / s e c u r e 1 、 定 位 有 多 少 I P 在 爆 破 主 机 的 r o o t 帐 号 ：       g r e p   " F a i l e d   p a s s w o r d   f o r   r o o t "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e 定 位 有 哪 些 I P 在 爆 破 ： g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | g r e p   - E   - o   " ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) . ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] [ 0 - 9 ] | [ 0 1 ] ? [ 0 - 9 ] [ 0 - 9 ] ? ) " | u n i q   - c 爆 破 用 户 名 字 典 是 什 么 ？   g r e p   " F a i l e d   p a s s w o r d "   / v a r / l o g / s e c u r e | p e r l   - e   ' w h i l e ( $ _ = < > ) {   / f o r ( . * ? )   f r o m / ;   p r i n t   " $ 1 n " ; } ' | u n i q   - c | s o r t   - n r 2 、 登 录 成 功 的 I P 有 哪 些 ： g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 1 } '   |   s o r t   |   u n i q   - c   |   s o r t   - n r   |   m o r e 登 录 成 功 的 日 期 、 用 户 名 、 I P ： g r e p   " A c c e p t e d   "   / v a r / l o g / s e c u r e   |   a w k   ' { p r i n t   $ 1 , $ 2 , $ 3 , $ 9 , $ 1 1 } ' 3 、 增 加 一 个 用 户 k a l i 日 志 ： J u l   1 0   0 0 : 1 2 : 1 5   l o c a l h o s t   u s e r a d d [ 2 3 8 2 ] :   n e w   g r o u p :   n a m e = k a l i ,   G I D = 1 0 0 1 J u l   1 0   0 0 : 1 2 : 1 5   l o c a l h o s t   u s e r a d d [ 2 3 8 2 ] :   n e w   u s e r :   n a m e = k a l i ,   U I D = 1 0 0 1 ,   G I D = 1 0 0 1 ,   h o m e = / h o m e / k a l i ,   s h e l l = / b i n / b a s h J u l   1 0   0 0 : 1 2 : 5 8   l o c a l h o s t   p a s s w d :   p a m _ u n i x ( p a s s w d : c h a u t h t o k ) :   p a s s w o r d   c h a n g e d   f o r   k a l i # g r e p   " u s e r a d d "   / v a r / l o g / s e c u r e 4 、 删 除 用 户 k a l i 日 志 ： J u l   1 0   0 0 : 1 4 : 1 7   l o c a l h o s t   u s e r d e l [ 2 3 9 3 ] :   d e l e t e   u s e r   ' k a l i ' J u l   1 0   0 0 : 1 4 : 1 7   l o c a l h o s t   u s e r d e l [ 2 3 9 3 ] :   r e m o v e d   g r o u p   ' k a l i '   o w n e d   b y   ' k a l i ' J u l   1 0   0 0 : 1 4 : 1 7   l o c a l h o s t   u s e r d e l [ 2 3 9 3 ] :   r e m o v e d   s h a d o w   g r o u p   ' k a l i '   o w n e d   b y   ' k a l i ' #   g r e p   " u s e r d e l "   / v a r / l o g / s e c u r e 5 、 s u 切 换 用 户 ： J u l   1 0   0 0 : 3 8 : 1 3   l o c a l h o s t   s u :   p a m _ u n i x ( s u - l : s e s s i o n ) :   s e s s i o n   o p e n e d   f o r   u s e r   g o o d   b y   r o o t ( u i d = 0 ) s u d o 授 权 执 行 : s u d o   - l J u l   1 0   0 0 : 4 3 : 0 9   l o c a l h o s t   s u d o :         g o o d   :   T T Y = p t s / 4   ;   P W D = / h o m e / g o o d   ;   U S E R = r o o t   ;   C O M M A N D = / s b i n / s h u t d o w n   - r   n o w 2 、 、 / v a r / l o g / y u m . l o g 软 件 安 装 升 级 卸 载 日 志 ： y u m   i n s t a l l   g c c [ r o o t @ b o g o n   ~ ] #   m o r e   / v a r / l o g / y u m . l o g J u l   1 0   0 0 : 1 8 : 2 3   U p d a t e d :   c p p - 4 . 8 . 5 - 2 8 . e l 7 _ 5 . 1 . x 8 6 _ 6 4 J u l   1 0   0 0 : 1 8 : 2 4   U p d a t e d :   l i b g c c - 4 . 8 . 5 - 2 8 . e l 7 _ 5 . 1 . x 8 6 _ 6 4 J u l   1 0   0 0 : 1 8 : 2 4   U p d a t e d :   l i b g o m p - 4 . 8 . 5 - 2 8 . e l 7 _ 5 . 1 . x 8 6 _ 6 4 J u l   1 0   0 0 : 1 8 : 2 8   U p d a t e d :   g c c - 4 . 8 . 5 - 2 8 . e l 7 _ 5 . 1 . x 8 6 _ 6 4 J u l   1 0   0 0 : 1 8 : 2 8   U p d a t e d :   l i b g c c - 4 . 8 . 5 - 2 8 . e l 7 _ 5 . 1 . i 6 8 6

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理