文章內(nèi)容

怎樣查核遭受入侵系統(tǒng)的日志

發(fā)布時(shí)間: 2012/8/11 17:37:39

　　在UNIX系統(tǒng)遭受入侵后，確定損失及入侵者的攻擊源地址相當(dāng)重要。雖然在大多數(shù)入侵者懂得使用曾被攻陷的計(jì)算機(jī)作為跳板來攻擊你的服務(wù)器，但是他們發(fā)動(dòng)正式攻擊前所做的目標(biāo)信息收集工作(試探性掃描)常常是從他們的工作計(jì)算機(jī)開始的，下面介紹如何從遭受入侵的系統(tǒng)的日志中分析出入侵者的IP并加以確定的。
　　
　　1. messages
　　
　　/var/adm是UNIX的日志目錄(Linux下則是/var/log)。其中有相當(dāng)多ASCII格式的日志文件，當(dāng)然，讓我們把焦點(diǎn)首先集中在messages個(gè)文件上，這一般也是入侵者所關(guān)注的文件，它記錄了來自系統(tǒng)級(jí)別的信息。下面是顯示版權(quán)或者硬件信息的記錄信息：
　　
　　Apr 29 19：06：47 www login[28845]： FAILED LOGIN 1 FROM xxx.xxx.xxx.xxx ，User not known to the underlying authentication module
　　
　　這是登錄失敗的記錄信息： Apr 29 22：05：45 game PAM_pwdb[29509]： (login) session opened for user ncx by (uid=0)。
　　
　　第一步應(yīng)該是 Kill -HUP cat `/var/run/syslogd.pid`，當(dāng)然，有可能入侵者已經(jīng)做過了。
　　
　　2. wtmp，utmp logs，F(xiàn)TP日志
　　
　　你可以在/var/adm，/var/log，/etc目錄中找到名為wtmp，utmp的文件，這些文件記錄著用戶是何時(shí)、何地遠(yuǎn)程登陸到主機(jī)上的，在黑客軟件中有一個(gè)最老也是最流行的zap2(編譯后的文件名一般叫做z2，或者叫wipe)，也是用來“抹”掉在這兩個(gè)文件中用戶登錄的信息的，然而由于懶惰或者網(wǎng)絡(luò)速度過于緩慢，很多入侵者沒有上載或編譯這個(gè)文件。管理員可以使用lastlog這個(gè)命令來獲得入侵者上次連接的源地址(當(dāng)然，這個(gè)地址有可能是他們的一個(gè)跳板)。FTP日志一般是/var/log/xferlog，該文件詳細(xì)的記錄了以FTP 方式上傳文件的時(shí)間、來源、文件名等等，不過由于該日志太明顯，所以稍微高明些的入侵者幾乎不會(huì)使用FTP來傳文件，他們一般使用的是RCP。
　　
　　3. sh_history
　　
　　獲得 root 權(quán)限后，入侵者就可以建立他們自己的入侵帳號(hào)，更高級(jí)的技巧是給類似 uucp，lp 等不常使用的系統(tǒng)用戶名加上密碼。在遭受入侵后，即使入侵者刪除了.sh_history 或者.bash_hi-story 這樣的文件，執(zhí)行kill -HUP `cat /var/run/inetd.conf`即可將保留在內(nèi)存頁中的bash命令記錄重新寫回到磁盤，然后可執(zhí)行find / -name.sh_historyprint，仔細(xì)查看每個(gè)可疑的 shell 命令日志。你可在/usr/spool/lp(lp home dir)，/usr/lib/uucp/等目錄下找到.sh_history 文件，還有可能在其中發(fā)現(xiàn)類似 FTP xxx.xxx.xxx.xxx 或者rcpnobody@xxx.xxx.xxx.xxx：/tmp/backdoor /tmp/backdoor這樣能顯示出入侵者IP或域名的命令。
　　
　　4. HTTP服務(wù)器日志
　　
　　這是確定入侵者的真實(shí)攻擊發(fā)源地址的最有效方法了。以最流行的Apache服務(wù)器為例，在$/logs/目錄下你可以發(fā)現(xiàn)access.log這個(gè)文件，該文件記載了訪問者的IP，訪問的時(shí)間和請(qǐng)求訪問的內(nèi)容。在遭受入侵后，我們應(yīng)該可以在該文件中發(fā)現(xiàn)類似下面的信息： record：xxx.xxx.xxx.xxx[28/Apr/2000：00：29：05 -0800] "GET/cgi-bin/rguest.exe"404 -xxx.xxx.xxx.xxx[28/Apr/2000：00：28：57 -0800] "GET /msads/Samples/SELECTOR/showcode.asp" 404
　　
　　這表明是來自 IP 為 xxx.xxx.xxx.xxx的入侵者在 2000 年 4 月 28 號(hào)的 0 點(diǎn) 28 分試圖訪問/msads/Samples/SELECTOR/showcode.asp文件，這是在使用web cgi掃描器后遺留下的日志。大部分的web掃描器的入侵者常選擇離自己最近的服務(wù)器。結(jié)合攻擊時(shí)間和IP，我們就可以知道入侵者的大量信息。
　　
　　5. 核心dump
　　
　　一個(gè)安全穩(wěn)定的守護(hù)進(jìn)程在正常運(yùn)行的時(shí)候是不會(huì)“dump”出系統(tǒng)的核心的，當(dāng)入侵者利用遠(yuǎn)程漏洞攻擊時(shí)，許多服務(wù)正在執(zhí)行一個(gè)getpeername的socket 函數(shù)調(diào)用，因此入侵者的IP也保存在內(nèi)存中。
　　
　　6. 代理服務(wù)器日志
　　
　　代理服務(wù)器是大中型企業(yè)網(wǎng)常使用來做為內(nèi)外信息交換的一個(gè)接口，它忠實(shí)地記錄著每一個(gè)用戶所訪問
　　
　　的內(nèi)容，當(dāng)然也包括入侵者的訪問信息。以最常用的squid代理為例，通常你可以在/usr/local/squid/logs/下找到 access.log 這個(gè)龐大的日志文件。你可以在以下地址獲得 squid 的日志分析腳本：http：//www.squid-cache.org/Doc/Users-Guide/added/st .html 通過對(duì)敏感文件訪問日志的分析，可以知道何人在何時(shí)訪問了這些本該保密的內(nèi)容。
　　
　　7. 路由器日志
　　
　　默認(rèn)方式下路由器不會(huì)記錄任何掃描和登錄，因此入侵者常用它做跳板來進(jìn)行攻擊。如果你的企業(yè)網(wǎng)被劃分為軍事區(qū)和非軍事區(qū)的話，添加路由器的日志記錄將有助于日后追蹤入侵者。更重要的是，對(duì)于管理員
　　
　　來說，這樣的設(shè)置能確定攻擊者到底是內(nèi)賊還是外盜。當(dāng)然，你需要額外的一臺(tái)服務(wù)器來放置router.log文件。
　　
　　注意!
　　
　　對(duì)于入侵者來說，在實(shí)施攻擊的整個(gè)過程中不與目標(biāo)機(jī)試圖建立TCP連接是不太可能的，這里有許多入侵者主觀和客觀原因，而且在實(shí)施攻擊中不留下日志也是相當(dāng)困難的。
　　
　　如果我們花上足夠的時(shí)間和精力，是可以從大量的日志中分析出入侵者的信息。就入侵者的行為心理而言，們?cè)谀繕?biāo)機(jī)上取得的權(quán)限越大，他們就越傾向于使用保守的方式來建立與目標(biāo)機(jī)的連接。仔細(xì)分析早期的日志，尤其是包含有掃描的部分，我們能有更大的收獲。
　　
　　日志審計(jì)只是作為入侵后的被動(dòng)防御手段，主動(dòng)的是加強(qiáng)自身的學(xué)習(xí)，及時(shí)升級(jí)或更新系統(tǒng)，做到有備無患才是最有效的防止入侵的方法。