網絡依然還是計算機,Sun還是Sun！
Solaris日志介绍
上一篇 / 下一篇 2007-08-21 00:09:33 / 个人分类：Solaris學習
查看( 128 ) /
评论( 1 )
假设你是一位使用solaris操作系统的网站管理员，有一天你无意中在你硬盘/var/adm目录下messages文件中看到了如下类似内容： IXPUB技术博客6Z2u6A$e? O/K
:qV6a:?b fmo0 Apr 24 20：31：04 nmssa /usr/dt/bin/rpc.ttdbserverd[405]： _Tt_file_system：：findBest IXPUB技术博客Q h8EQ&yQ @[
MountPoint -- max_match_entry is null， aborting… IXPUB技术博客&wt QA8x/l!Q*lX s \
Apr 24 20：31：05 nmssa inetd[140]： /usr/dt/bin/rpc.ttdbserverd： Segmentation Faul IXPUB技术博客 xS[7[:T QO
t - core dumped IXPUB技术博客|2WD!]r:a c
5p_*?wj\$j)XG6}0 知道这意味着什么吗?你的系统已有至少99%的可能性被侵入! IXPUB技术博客&u0A_1\)@oDQ
#H'rxi7H6B/q*O B0 目前使用solaris的系统管理员都知道在/var区下有个目录adm，在这个目录下有messags，syslog，sulog，utmp等诸多日志文件，它们记录着solaris系统产生的各种消息日志。从系统管理员的角度来讲，清楚的理解各个日志文件的功能及作用是很有必要的，在系统发生安全问题时，这些日志纪录可以在一定意义上起到帮助和诊断作用。
R L$ERKH kEnS0 IXPUB技术博客 [D1O-ixw-y
我们来依次看看Adm目录下的主要文件。 IXPUB技术博客 VN {0| e:J
-EO @*r%pl?\o0 adm/messags IXPUB技术博客M5[~s"a5G$x"t
']8a"fo.Z;J mX0 我们先来看最为重要的messages文件， messages记载来自系统核心的各种运行日志，包括各种精灵，如认证，inetd等进程的消息及系统特殊状态，如温度超高等的系统消息，可以说它是系统最重要的日志之一。 messages可以记载的内容是由/etc/syslog.conf决定的，有兴趣的读者可以使用man syslog.conf命令来做一个详细了解，这里就不介绍了。就安全的角度来讲，目前互联网上入侵者采用的手段大多数是利用系统的漏洞，而当入侵者试图利用漏洞对你的服务器进行攻击时，在服务器的messages文件中一般会留下一些异常的内容，如本文最开始描述的部分，就是目前互联网上入侵者使用rpc.ttdbserver漏洞攻击所留下的痕迹，它是solaris最为臭名昭著的一个系统漏洞，入侵者利用这个漏洞可以轻松的从远端得到超级用户权限，但这种攻击不是干净的入侵攻击，它会在messages下留下记录，同时会在根目录下生成core文件，如果细心的管理员经常检查系统日志，是不难发现有入侵者或入侵企图的，又比如下面的纪录： IXPUB技术博客$K2c.| @oJt,E
7n8W {A8}0 Apr 24 11：26：25 unix.secu.com ftpd[7261]： anonymous (bogus) LOGIN FAILED [from 11.22.33.46]
X_5L8c7y'~"Vo1S%rG0 Apr 24 11：27：23 unix.secu.com ftpd[7264]： 163 (bogus) LOGIN FAILED [from 11.22.33.49]
E0[1l @ X Y-Tj0 Apr 24 11：28：44 unix.secu.com ftpd[7265]： abc (bogus) LOGIN FAILED [from 11.22.33.46] IXPUB技术博客#_}!o)?(k L `Qp l
H"Y{*I/YP0 管理员可以从上述纪录中可以清楚看到在24日11点26， 11点27， 11点28分有可疑用户在猜主机的ftp口令，它们的来源ip 分别是 11.22.33.46和11.22.33.49。
Fy F F D U0 IXPUB技术博客P?p,~3rH1DJY+y,C
adm/sulog IXPUB技术博客+O W t;t/z?]J
Y-D4P8T!U;d@ u0 sulog中记载着普通用户尝试su成为其它用户的纪录。它的格式为： 发生时间 +/-(成功/失败) pts号 当前用户欲su成的用户，我们截取一部分实际内容，来看一下： IXPUB技术博客]!P.](S wdNnH?"x-A8{
IXPUB技术博客2O/} wb)b-V ]u
SU 04/15 16：35 + pts/6 yiming-root
O3rUlVkw6b0 SU 04/15 16：43 + pts/4 root-yiming
p:Yq9~#W:{0 SU 04/17 08：20 - pts/5 cheny-root
(Q,SzbH7q0 SU 04/18 16：36 - pts/4 cheny-root
,w'D p&tm ]$m0 SU 04/19 02：57 + pts/11 lizhao-root IXPUB技术博客oEf.P)cY?
SU 04/19 19：57 + pts/11 cys-root
-D6X Q2Y Q0 SU 04/21 08：20 - pts/4 cheny-root IXPUB技术博客[lU4rw
SU 04/21 16：36 - pts/8 cheny-root IXPUB技术博客{#`tX3ZIM Lx
SU 04/22 15：23 - pts/5 cheny-root
!K y|Cq0gsAO-] i0 IXPUB技术博客 k1z2eu,A;z
对管理员来讲，需要密切关注两种用户，第一是反复su失败的，如以上cheny用户，他有猜超级用户口令的嫌疑。第二是在不正常时间的su纪录，如上述第六行用户lizhao，随然他正确的输入了口令(在第四列中有+号)但02：57分这个时间比较可疑，这是一个管理员不大可能工作的时间，要知道，入侵者可能安装过sniffer之类的软件，并利用它窃取到了超级用户口令，为了进一步做工作，如窃取主机敏感数据，入侵者需要进行比较复杂的操作，但在白天这个系统管理员活动的时间被发现的可能性是比较大的，所以即使入侵者得到了高权限的密码，一般也会选择深夜等管理员一般不工作的时间。这些时候没有人会抓他。 IXPUB技术博客1v z/K J X
3T)v j:b1L@@P0 adm/utmp,utmpx
&i6T)btt K,c l0
5z$b y/j3m0 这两个文件是不具可读性的，它们记录着当前登录在主机上的用户，管理员可以用w，who等命令来看，下面为who的输出结果， IXPUB技术博客 q W*O2L&QC
zH8B2BE a4~ Y];O0 yiming pts/29 Jun 12 09：24 (11.22.33.44) IXPUB技术博客,v2? rN.r9sw xu [ WJ
yiming pts/28 Jun 12 08：41 (11.22.33.43) IXPUB技术博客7V"@_1Y I ^)gO1DCm%_e
guest pts/30 Jun 12 09：26 (penetrate.hacker.com)
*Es.o8d Y3A0 root pts/19 Jun 12 08：19 (:0.0)
ow*y_p/F5d%\`D&I0
;If o:L0Y0 它的输出很简单，每行依次为用户，pts号，时间，来源地点。当管理员觉得系统表现可疑时，一般会用这两个命令来看当前用户，如果在输出中有不正常的用户名，或是来源ip较为可疑，则管理员需要引起注意了。如上述guest这个用户就比较可疑，虽然这个用户名guest是合法的，但这个用户的来源penetrate.Hacker.com看起来可是不太对劲。系统管理员有必要监视一下这个用户的行为。有一点要注意，管理员不能完全相信w，who及下面提到的last命令所报告的结果，使用特定的擦除日志软件，如zap之类入侵者可以很轻松的抹掉入侵者的踪迹，一个聪明的入侵者一般会将编译好的擦除软件传到受害主机，并在侵入系统后马上做擦除工作，比如他在受害主机执行zap，如下， IXPUB技术博客kb$oU'v ~ X
,W2q\D-\:t%d#l5Px0 ./zap -v guest
5F!|/o[8Y*{+jU0 - WTMP：
T-Sg [+x/e-H0 WTMP = /var/adm/wtmp IXPUB技术博客xjYA3|'r
Removing user guest at pos： 131328 IXPUB技术博客C m X6v U;|.P:Y
Done! IXPUB技术博客(M{,k.K(g3P
- UTMP： IXPUB技术博客!Q1I @P:|
UTMP = /var/adm/utmp IXPUB技术博客{W y0S7v'I
Removing user guest at pos： 864
j}J7w xJ3} Bc0 Done! IXPUB技术博客,SUm ~/p@M
- LASTLOG： IXPUB技术博客)z7KSB@rT
LASTLOG = /var/adm/lastlog IXPUB技术博客,?)mZ:e+f5G
User guest has no wtmp record。 Zeroing lastlog。。
d/A,n*yD1_I0 - WTMPX：
~:P~N h%e'Y)d0 WTMPX = /var/adm/wtmpx IXPUB技术博客AF G.Xo.l
Done! IXPUB技术博客 ~(A;\+I?5}1a
- UTMPX： IXPUB技术博客7WJD+T1O X
UTMPX = /var/adm/utmpx IXPUB技术博客/B/yWFkP#Ju
Done! IXPUB技术博客!N?RcUR FIv"K
IXPUB技术博客 J Y J#x5Q `s+R2x ?
此时，在用w看时，我们看看发生了什么变化? IXPUB技术博客 J sy,M/h&P3P Y4`a'me
IXPUB技术博客V*z7Pa1?I7H
yiming pts/29 Jun 12 09：24 (11.22.33.44) IXPUB技术博客r3X qy O${RK
yiming pts/28 Jun 12 08：41 (11.22.33.43)
8r)i#j*Y/?k0 root pts/19 Jun 12 08：19 (:0.0) IXPUB技术博客_ Td.SH
IXPUB技术博客La?i Rw
我们可以看到入侵者消失了!这对入侵者是个好消息，但对一个安全意识较差的系统管理员而言，这台主机可不大妙了。建议如果系统看起来不大对劲，而用w，last等看出不出来端倪的话，还是安装其它系统监视软件如ttywatcher，ethereal等仔细审核一下。
:r/de4h r1~0
1h,V&I/OC1K u } J0 adm/wtmp，wtmps
Z-I dO v/C\0 IXPUB技术博客%Me!B1MP\!@ A
这两个文件相当于历史纪录，它们记录着所有登录过主机的用户，时间，来源等内容， 这两个文件也是不具可读性的。可用last命令来看，如下。
b/X2mw(l0 IXPUB技术博客9W`/Bf,k1up }
support pts/13 11.22.33.44 Thu Apr 20 18：40 - 20：50 (02：10) IXPUB技术博客R.mqS,{ xP(ER f
gogo pts/12 11.22.33.45 Thu Apr 20 1：53 - 17：21 (02：28)
`~Xo']0 root ftp secu.unix.com Wed Apr 19 14：58 - 14：58 (00：00)
WE I Q}*oL9L0 管理员要注意那些发生在不正常时间或是来自可疑地点的登录纪录，如上面输出结果中的gogo用户，这个时间不太正常。
1q;eGL_o0 IXPUB技术博客;K"?V MC9IB
与上面utmp，utmpx一样，管理员也应该清楚：last只能给你一个大概的参考，不要完全相信last的结果。
o&@Uko0 IXPUB技术博客[$k%sx4l3J&\5mG
除了上述几个文件外，在/var/log目录下还有一个syslog文件，这个文件的内容一般是纪录mail事件的，管理员应该经常检查有没有异常纪录。
B,GLf@!k9F5o ?0 IXPUB技术博客 [FL#WeH
最后来讲一讲solaris一个很少被用起但却极为有用的功能---记账。Solaris操作系统可以通过设置日志文件可以对每个用户的每一条命令进行纪录，这一功能默认是不开放的，为了打开它，需要执行/usr/lib/acct目录下的accton文件，格式如下/usr/lib/acct/accton /var/adm/pacct，在sun的手册上，只有这一种用法，但这样做的缺点是明显的，大多数有经验的入侵者一定不会放过/var/adm和 /var/log这两个目录的，如果它们看到有pacct这个东西，不删才怪。针对这种情况其实有个很好的解决办法，执行/usr/lib/acct/accton 后面跟一个别的目录和文件即可，如/usr/lib/acct/accton /yiming/log/commandlog，这样入侵者不会在/var/adm/下看到pacct，入侵者也许会删掉message，syslog等日志，但他并不知道实际上他所有的操作都被记录在案，管理员事后只要把commandlog这个文件拷贝到/var/adm下，改为pacct ，同时执行读取命令lastcomm，就一切尽在掌握啦。如lastcomm hack，可得到下面的输出结果：
(c'ln` R0 IXPUB技术博客Yp;P+tL,R|8a+Ug
sh S hack pts/7 0.05 secs Mon Jun 12 14：28
/o _f F(@ T.z1Q0 sh F hack pts/7 0.00 secs Mon Jun 12 14：39
,v%m9v a#X2Y0 ls hack pts/7 0.01 secs Mon Jun 12 14：39
:f:ae.b Q3V;Z|l@0 ls hack pts/7 0.02 secs Mon Jun 12 14：39 IXPUB技术博客 {F,n4u,K5O
ls hack pts/7 0.01 secs Mon Jun 12 14：38
&U8g-[.nX0 df hack pts/7 0.03 secs Mon Jun 12 14：38
$D9YyR8nf Aw f-|0 ftp hack pts/7 0.02 secs Mon Jun 12 14：37 IXPUB技术博客4H N W _ I-l;_
ls hack pts/7 0.01 secs Mon Jun 12 14：37 IXPUB技术博客 E!Q!f+VA
vi hack pts/7 0.02 secs Mon Jun 12 14：37 IXPUB技术博客 H c D)_5D5oI(}3xT r
who hack pts/7 0.02 secs Mon Jun 12 14：36
4JR3B8y!M;@0 IXPUB技术博客v4D8O E} KrWW G
我们从输出中可以了解用户hack所做的工作.
:qV6a:?b fmo0 Apr 24 20：31：04 nmssa /usr/dt/bin/rpc.ttdbserverd[405]： _Tt_file_system：：findBest IXPUB技术博客Q h8EQ&yQ @[
MountPoint -- max_match_entry is null， aborting… IXPUB技术博客&wt QA8x/l!Q*lX s \
Apr 24 20：31：05 nmssa inetd[140]： /usr/dt/bin/rpc.ttdbserverd： Segmentation Faul IXPUB技术博客 xS[7[:T QO
t - core dumped IXPUB技术博客|2WD!]r:a c
5p_*?wj\$j)XG6}0 知道这意味着什么吗?你的系统已有至少99%的可能性被侵入! IXPUB技术博客&u0A_1\)@oDQ
#H'rxi7H6B/q*O B0 目前使用solaris的系统管理员都知道在/var区下有个目录adm，在这个目录下有messags，syslog，sulog，utmp等诸多日志文件，它们记录着solaris系统产生的各种消息日志。从系统管理员的角度来讲，清楚的理解各个日志文件的功能及作用是很有必要的，在系统发生安全问题时，这些日志纪录可以在一定意义上起到帮助和诊断作用。
R L$ERKH kEnS0 IXPUB技术博客 [D1O-ixw-y
我们来依次看看Adm目录下的主要文件。 IXPUB技术博客 VN {0| e:J
-EO @*r%pl?\o0 adm/messags IXPUB技术博客M5[~s"a5G$x"t
']8a"fo.Z;J mX0 我们先来看最为重要的messages文件， messages记载来自系统核心的各种运行日志，包括各种精灵，如认证，inetd等进程的消息及系统特殊状态，如温度超高等的系统消息，可以说它是系统最重要的日志之一。 messages可以记载的内容是由/etc/syslog.conf决定的，有兴趣的读者可以使用man syslog.conf命令来做一个详细了解，这里就不介绍了。就安全的角度来讲，目前互联网上入侵者采用的手段大多数是利用系统的漏洞，而当入侵者试图利用漏洞对你的服务器进行攻击时，在服务器的messages文件中一般会留下一些异常的内容，如本文最开始描述的部分，就是目前互联网上入侵者使用rpc.ttdbserver漏洞攻击所留下的痕迹，它是solaris最为臭名昭著的一个系统漏洞，入侵者利用这个漏洞可以轻松的从远端得到超级用户权限，但这种攻击不是干净的入侵攻击，它会在messages下留下记录，同时会在根目录下生成core文件，如果细心的管理员经常检查系统日志，是不难发现有入侵者或入侵企图的，又比如下面的纪录： IXPUB技术博客$K2c.| @oJt,E
7n8W {A8}0 Apr 24 11：26：25 unix.secu.com ftpd[7261]： anonymous (bogus) LOGIN FAILED [from 11.22.33.46]
X_5L8c7y'~"Vo1S%rG0 Apr 24 11：27：23 unix.secu.com ftpd[7264]： 163 (bogus) LOGIN FAILED [from 11.22.33.49]
E0[1l @ X Y-Tj0 Apr 24 11：28：44 unix.secu.com ftpd[7265]： abc (bogus) LOGIN FAILED [from 11.22.33.46] IXPUB技术博客#_}!o)?(k L `Qp l
H"Y{*I/YP0 管理员可以从上述纪录中可以清楚看到在24日11点26， 11点27， 11点28分有可疑用户在猜主机的ftp口令，它们的来源ip 分别是 11.22.33.46和11.22.33.49。
Fy F F D U0 IXPUB技术博客P?p,~3rH1DJY+y,C
adm/sulog IXPUB技术博客+O W t;t/z?]J
Y-D4P8T!U;d@ u0 sulog中记载着普通用户尝试su成为其它用户的纪录。它的格式为： 发生时间 +/-(成功/失败) pts号 当前用户欲su成的用户，我们截取一部分实际内容，来看一下： IXPUB技术博客]!P.](S wdNnH?"x-A8{
IXPUB技术博客2O/} wb)b-V ]u
SU 04/15 16：35 + pts/6 yiming-root
O3rUlVkw6b0 SU 04/15 16：43 + pts/4 root-yiming
p:Yq9~#W:{0 SU 04/17 08：20 - pts/5 cheny-root
(Q,SzbH7q0 SU 04/18 16：36 - pts/4 cheny-root
,w'D p&tm ]$m0 SU 04/19 02：57 + pts/11 lizhao-root IXPUB技术博客oEf.P)cY?
SU 04/19 19：57 + pts/11 cys-root
-D6X Q2Y Q0 SU 04/21 08：20 - pts/4 cheny-root IXPUB技术博客[lU4rw
SU 04/21 16：36 - pts/8 cheny-root IXPUB技术博客{#`tX3ZIM Lx
SU 04/22 15：23 - pts/5 cheny-root
!K y|Cq0gsAO-] i0 IXPUB技术博客 k1z2eu,A;z
对管理员来讲，需要密切关注两种用户，第一是反复su失败的，如以上cheny用户，他有猜超级用户口令的嫌疑。第二是在不正常时间的su纪录，如上述第六行用户lizhao，随然他正确的输入了口令(在第四列中有+号)但02：57分这个时间比较可疑，这是一个管理员不大可能工作的时间，要知道，入侵者可能安装过sniffer之类的软件，并利用它窃取到了超级用户口令，为了进一步做工作，如窃取主机敏感数据，入侵者需要进行比较复杂的操作，但在白天这个系统管理员活动的时间被发现的可能性是比较大的，所以即使入侵者得到了高权限的密码，一般也会选择深夜等管理员一般不工作的时间。这些时候没有人会抓他。 IXPUB技术博客1v z/K J X
3T)v j:b1L@@P0 adm/utmp,utmpx
&i6T)btt K,c l0
5z$b y/j3m0 这两个文件是不具可读性的，它们记录着当前登录在主机上的用户，管理员可以用w，who等命令来看，下面为who的输出结果， IXPUB技术博客 q W*O2L&QC
zH8B2BE a4~ Y];O0 yiming pts/29 Jun 12 09：24 (11.22.33.44) IXPUB技术博客,v2? rN.r9sw xu [ WJ
yiming pts/28 Jun 12 08：41 (11.22.33.43) IXPUB技术博客7V"@_1Y I ^)gO1DCm%_e
guest pts/30 Jun 12 09：26 (penetrate.hacker.com)
*Es.o8d Y3A0 root pts/19 Jun 12 08：19 (:0.0)
ow*y_p/F5d%\`D&I0
;If o:L0Y0 它的输出很简单，每行依次为用户，pts号，时间，来源地点。当管理员觉得系统表现可疑时，一般会用这两个命令来看当前用户，如果在输出中有不正常的用户名，或是来源ip较为可疑，则管理员需要引起注意了。如上述guest这个用户就比较可疑，虽然这个用户名guest是合法的，但这个用户的来源penetrate.Hacker.com看起来可是不太对劲。系统管理员有必要监视一下这个用户的行为。有一点要注意，管理员不能完全相信w，who及下面提到的last命令所报告的结果，使用特定的擦除日志软件，如zap之类入侵者可以很轻松的抹掉入侵者的踪迹，一个聪明的入侵者一般会将编译好的擦除软件传到受害主机，并在侵入系统后马上做擦除工作，比如他在受害主机执行zap，如下， IXPUB技术博客kb$oU'v ~ X
,W2q\D-\:t%d#l5Px0 ./zap -v guest
5F!|/o[8Y*{+jU0 - WTMP：
T-Sg [+x/e-H0 WTMP = /var/adm/wtmp IXPUB技术博客xjYA3|'r
Removing user guest at pos： 131328 IXPUB技术博客C m X6v U;|.P:Y
Done! IXPUB技术博客(M{,k.K(g3P
- UTMP： IXPUB技术博客!Q1I @P:|
UTMP = /var/adm/utmp IXPUB技术博客{W y0S7v'I
Removing user guest at pos： 864
j}J7w xJ3} Bc0 Done! IXPUB技术博客,SUm ~/p@M
- LASTLOG： IXPUB技术博客)z7KSB@rT
LASTLOG = /var/adm/lastlog IXPUB技术博客,?)mZ:e+f5G
User guest has no wtmp record。 Zeroing lastlog。。
d/A,n*yD1_I0 - WTMPX：
~:P~N h%e'Y)d0 WTMPX = /var/adm/wtmpx IXPUB技术博客AF G.Xo.l
Done! IXPUB技术博客 ~(A;\+I?5}1a
- UTMPX： IXPUB技术博客7WJD+T1O X
UTMPX = /var/adm/utmpx IXPUB技术博客/B/yWFkP#Ju
Done! IXPUB技术博客!N?RcUR FIv"K
IXPUB技术博客 J Y J#x5Q `s+R2x ?
此时，在用w看时，我们看看发生了什么变化? IXPUB技术博客 J sy,M/h&P3P Y4`a'me
IXPUB技术博客V*z7Pa1?I7H
yiming pts/29 Jun 12 09：24 (11.22.33.44) IXPUB技术博客r3X qy O${RK
yiming pts/28 Jun 12 08：41 (11.22.33.43)
8r)i#j*Y/?k0 root pts/19 Jun 12 08：19 (:0.0) IXPUB技术博客_ Td.SH
IXPUB技术博客La?i Rw
我们可以看到入侵者消失了!这对入侵者是个好消息，但对一个安全意识较差的系统管理员而言，这台主机可不大妙了。建议如果系统看起来不大对劲，而用w，last等看出不出来端倪的话，还是安装其它系统监视软件如ttywatcher，ethereal等仔细审核一下。
:r/de4h r1~0
1h,V&I/OC1K u } J0 adm/wtmp，wtmps
Z-I dO v/C\0 IXPUB技术博客%Me!B1MP\!@ A
这两个文件相当于历史纪录，它们记录着所有登录过主机的用户，时间，来源等内容， 这两个文件也是不具可读性的。可用last命令来看，如下。
b/X2mw(l0 IXPUB技术博客9W`/Bf,k1up }
support pts/13 11.22.33.44 Thu Apr 20 18：40 - 20：50 (02：10) IXPUB技术博客R.mqS,{ xP(ER f
gogo pts/12 11.22.33.45 Thu Apr 20 1：53 - 17：21 (02：28)
`~Xo']0 root ftp secu.unix.com Wed Apr 19 14：58 - 14：58 (00：00)
WE I Q}*oL9L0 管理员要注意那些发生在不正常时间或是来自可疑地点的登录纪录，如上面输出结果中的gogo用户，这个时间不太正常。
1q;eGL_o0 IXPUB技术博客;K"?V MC9IB
与上面utmp，utmpx一样，管理员也应该清楚：last只能给你一个大概的参考，不要完全相信last的结果。
o&@Uko0 IXPUB技术博客[$k%sx4l3J&\5mG
除了上述几个文件外，在/var/log目录下还有一个syslog文件，这个文件的内容一般是纪录mail事件的，管理员应该经常检查有没有异常纪录。
B,GLf@!k9F5o ?0 IXPUB技术博客 [FL#WeH
最后来讲一讲solaris一个很少被用起但却极为有用的功能---记账。Solaris操作系统可以通过设置日志文件可以对每个用户的每一条命令进行纪录，这一功能默认是不开放的，为了打开它，需要执行/usr/lib/acct目录下的accton文件，格式如下/usr/lib/acct/accton /var/adm/pacct，在sun的手册上，只有这一种用法，但这样做的缺点是明显的，大多数有经验的入侵者一定不会放过/var/adm和 /var/log这两个目录的，如果它们看到有pacct这个东西，不删才怪。针对这种情况其实有个很好的解决办法，执行/usr/lib/acct/accton 后面跟一个别的目录和文件即可，如/usr/lib/acct/accton /yiming/log/commandlog，这样入侵者不会在/var/adm/下看到pacct，入侵者也许会删掉message，syslog等日志，但他并不知道实际上他所有的操作都被记录在案，管理员事后只要把commandlog这个文件拷贝到/var/adm下，改为pacct ，同时执行读取命令lastcomm，就一切尽在掌握啦。如lastcomm hack，可得到下面的输出结果：
(c'ln` R0 IXPUB技术博客Yp;P+tL,R|8a+Ug
sh S hack pts/7 0.05 secs Mon Jun 12 14：28
/o _f F(@ T.z1Q0 sh F hack pts/7 0.00 secs Mon Jun 12 14：39
,v%m9v a#X2Y0 ls hack pts/7 0.01 secs Mon Jun 12 14：39
:f:ae.b Q3V;Z|l@0 ls hack pts/7 0.02 secs Mon Jun 12 14：39 IXPUB技术博客 {F,n4u,K5O
ls hack pts/7 0.01 secs Mon Jun 12 14：38
&U8g-[.nX0 df hack pts/7 0.03 secs Mon Jun 12 14：38
$D9YyR8nf Aw f-|0 ftp hack pts/7 0.02 secs Mon Jun 12 14：37 IXPUB技术博客4H N W _ I-l;_
ls hack pts/7 0.01 secs Mon Jun 12 14：37 IXPUB技术博客 E!Q!f+VA
vi hack pts/7 0.02 secs Mon Jun 12 14：37 IXPUB技术博客 H c D)_5D5oI(}3xT r
who hack pts/7 0.02 secs Mon Jun 12 14：36
4JR3B8y!M;@0 IXPUB技术博客v4D8O E} KrWW G
我们从输出中可以了解用户hack所做的工作.
TAG:
-
云杉上的蝴蝶
发布于2007-08-21 18:47:24
-
此帖已收集到主题列表
