閱讀提示：在Unix系統遭受***后，確定損失及***者的***源地址相當重要。雖然在大多數***者懂得使用曾
被他們攻陷的機器作為跳板來***你的服務器可在他們發動正式***前所做的目標信息收集工作（試探性掃描）
常常是從他們的工作機開始的，本篇介紹如何從遭受***的系統的日志中分析出***者的IP并加以確定的。
在Unix系統遭受***后，確定損失及***者的***源地址相當重要。雖然在大多數***者懂得使用曾被他們攻陷的
機器作為跳板來***你的服務器可在他們發動正式***前所做的目標信息收集工作（試探性掃描）常常是從他們的
工作機開始的，本篇介紹如何從遭受***的系統的日志中分析出***者的IP并加以確定的。
1）messages
/var/adm是UNIX的日志目錄（linux下則是/var/log）。有相當多的ASCII文本格式的日志保存之下，當然，讓我們把焦
點首先集中在messages 這個文件,這也是***者所關心的文件，它記錄了來自系統級別的信息。在這里，大量的日志記
錄對于我們是無用的。
比如:
Apr 25 21:49:30 2000 unix: Copyright (c) 1983-1997, Sun Microsystems, Inc.
Apr 25 21:49:30 2000 unix: mem = 262144K (0x10000000)
這樣顯示版權或者硬件信息的記錄而:
Apr 29 19:06:47 www login[28845]: FAILED LOGIN 1 FROM xxx.xxx.xxx.xxx ,
User not known to the underlying authentication module
這樣的登錄失敗記錄:
Apr 29 22:05:45 game PAM_pwdb[29509]: (login) session opened for user ncx by (uid=0)因此第一步應該是 Kill -HUP cat `/var/run/syslogd.pid`（當然，有可能***者已經幫我們做過了，;-)那樣我們得不到任何有用信息）
在下面這個網址你可以找到大量的日志審計分析工具或者腳:
[url]http://www.antian365.com/tem[/url] ... platform=&path=[%20auditing%20][%2-0log%20analysis%20]
2）wtmp,utmp logs,ftp日志
你能夠在/var/adm,/var/log,/etc目錄中找到名為wtmp,utmp的文件,這記錄著用戶何時，何地telnet上主機，在***中最
古老也是最流行的zap2(編譯后的文件名一般叫做z2，或者是叫wipe). 也是用來抹掉在這兩個文件中用戶登錄的信息的，
然而由于懶惰或者糟糕的網絡速度(>3秒的echo就令人崩潰，而我經常遇見10 倍于此的回顯時間 )，很多***者沒有上載
或編譯這個文件，管理員所需要就是使用lastlog這個命令來獲得***者上次連接的源地址（當然，這個地址有可能是他們
的一個跳板）ftp日志一般是/var/log/xferlog，該文本形式的文件詳細的記錄了以FTP 方式上傳文件的時間，來源，文件名
等等。不過由于該日志太明顯，所以稍微高明些的***者幾乎不會使用該方法來傳文件。而使用rcp的較普遍些.當然你可以 # cat /var/log/xferlog | grep -v 202.106.147.來查看那些不應該出現的地址。
3）sh_history
在獲得root 權限后，***者建立了他們自己的***帳號，更高級的技巧是給類似uucp，lp不常使用的系統用戶名加上
密碼。在遭受***后，即使***者刪除了. sh_history或者.bash_hi-story 這樣的文件，執行kill -HUP `cat /var/run
/inetd.conf`即可將保留在內存頁中的bash命令記錄重新寫回到磁盤，然后執行find / -name.sh_historyprint，仔細
查看每個可疑的shell命令日志。尤其是當你在/usr/spool/lp(lp home dir),/usr/lib/uucp/(uucp home dir)這樣的目錄
下找了.sh_history文件時。往往***者在需要目標機和工作機傳送文件時為了避免被syslog,可能使用從目標機ftp到工
作機的方法，因此在sh_history中你有可能發現類似ftp xxx.xxx.xxx.xxx或者[email]rcpnobody@xxx.xxx.xxx.xxx[/email]:/tmp/backdoor /tmp/backdoor這樣顯示出***者IP或域名的命令。
4）http服務器日志
這很有可能是確定***者的真實***發源地的最有效方法。以最流行的apache服務器為例，在?${prefix}/logs/ 目錄
下你可以發現access.log這個文件，該文件記載了訪問者的IP,訪問的時間和請求訪問的內容。在遭受***后，我們應該
可以在該文件中發現類似下面的:record:xxx.xxx.xxx.xxx - - [28/Apr/2000:00:29:05 -0800] "GET/cgi-bin/rguest.exe"404 -xxx.xxx.xxx.xxx - - [28/Apr/2000:00:28:57 -0800] "GET /msads/Samples/SELECTOR/showcode.asp" 404 -來自IP為xxx.xxx.xxx.xxx的某人在2000年4月28號的0點28分試圖訪問 /msads/Samples/SELECTOR/showcode.asp文件，這是在
使用web cgi掃描器后遺留下的日志。大部分的web掃描器都是基于MS操作系統的，而為了更快的速度，使用基于Unix的
掃描器的***者常選擇離自己最近的服務器。結合***時間和IP，我們可以知道***者的大量信息。
5）核心dump
這是一種相對較復雜的方法，但是也有效。一個安全穩定的守護進程在正常運行的時候是不會dump出系統的核心，當入
侵者利用遠程漏洞***時，許多服務正在執行一個getpeername的 socket 函數調用(參見socket編程)，因此***者的IP
也保存在內存中，此時服務overflow ,系統p 內存頁文件被dump到core文件,這意味著你可能在一大段雜亂無章的字符中
（事實上是一個全局數據庫中的進程變量）找到一個包含有執行此 expoloit的IP。BTW: 這段是參考了[url]http://members.tripod.com/mixtersecurity/paper.html[/url]后寫出的，我做了一個cmsd的遠程***測試，但只在中間找到了
***者遠程overflow的部分命令，沒有找到IP。不過這仍有理由相信Mixter(paper.html的作者)的話。
6）代理服務器日志
代理是大中型企業網常使用來做為內外信息交換的一個接口，它忠實地記錄著每一個用戶所訪問的內容，當然，也包括入
侵者的訪問內容。以最常用的 squid代理為例，通常你可以在/usr/local/squid/logs/下找到access.log 這個龐大的日志文件，
當然，由于日志記錄添加得很快，在安全事故后應該及時備份它。你可以在以下地址獲得squid的日志分析
腳本:http: //www.antian365.com/Doc/Users-Guide/added/stats.html通過對敏感文件訪問日志的分析，可以
知道何人在何時訪問了這些本該保密的內容。
7）路由器日志
默認方式下路由器不會記錄任何掃描和登錄，因此***者常用它做跳板來進行***。如果你的企業網被劃分為軍
事區和非軍事區的話，添加路由器的日志記錄將有助于日后追蹤***者。更重要的是，對于管理員來說，這樣的
設置能確定***者到底是內賊還是外盜。當然，你需要額外的一臺服務器來放置 router.log文件。
在CISCO路由器上:
router(config)# logging faclity syslog
router(config)# logging trap informational
router(config)# logging [服務器名]
在log server上：
I .在/etc/syslog.conf中加入一行:
*.info /var/log/router.log
II . 生成文件日志文件：
touch /var/log/router.log
III .重起syslogd進程:
kill -HUP `cat /var/run/syslogd.pid`
對于***者來說，在實施***的整個過程中不與目標機試圖建立tcp連接是不太可能的，這里有許多***者主觀
和客觀的原因，而且在實施***中不留下日志也是相當困難的。如果我們花上足夠的時間和精力，是可以從大量
的日志中分析出我們希望的信息。就***者的行為心理而言，他們在目標機上取得的權限越大，他們就越傾向于
保守的方式來建立與目標機的連接。仔細分析早期的日志，尤其是包含有掃描的部分，我們能有更大的收獲。
日志審計只是作為***后的被動防御手段。主動的是加強自身的學習，及時升級或更新系統。做到有備無患才是
最有效的防止***的方法。

總結

以上是生活随笔為你收集整理的Unix操作系统***追踪反击战的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。