dhf 发表于 2023-9-12 09:55
  
每日打卡学习,感谢分享,学习了!!!
新手716814 发表于 2023-9-28 09:14
  

每天学习一点点,每天进步一点点。
新手626351 发表于 2023-10-11 08:50
  
感谢分享,构建全联接的未来
新手716814 发表于 2023-10-13 10:58
  

感谢楼主分享,努力学习中!!!!
新手626351 发表于 2023-10-16 09:30
  
学习到了,有助于工作!
牵网线的 发表于 2023-10-24 10:34
  
每天学习一点点,每天进步一点点
新手378833 发表于 2023-11-2 16:52
  
感谢分享,有助于工作和学习
新手716814 发表于 2024-1-29 15:20
  
感谢分享,学习学习!!!
【大白分享】渗透安全之Linux日志分析分析篇
  

山东_朱文鑫 35061人觉得有帮助

{{ttag.title}}
大家好,我是大白,大鹏一日同风起,扶摇直上九万里。依旧感谢各位小伙伴的一路支持与陪伴。


今天分享大白的渗透安全之Linux日志分析篇,之前我们说过Linux的入侵排查思路其中我从中提到在Linux查询日志来帮助我们针对已经入侵的进程进行排查,同样还是对于好多小伙伴来说,这个更加偏向于安服,总体来说确实更加偏向于安服但是对于安全知识的了解以及更加层次的学习甚至使用都比较重要,我们可以一同研习一下渗透攻防的“魅力”。

*本篇章将本着学习的态度进行分享,严禁用于个人非法行为以及黑产获取!!!!




Linux系统拥有非常灵活和强大的日志功能,可以保存几乎所有的操作记录,并可以从中检索出我们需要的信息。 本文简介一下Linux系统日志及日志分析技巧。


日志简介


日志默认存放位置:/var/log/

查看日志配置情况:more /etc/rsyslog.conf



比较重要的几个日志: 登录失败记录:/var/log/btmp //lastb 最后一次登录:/var/log/lastlog //lastlog 登录成功记录: /var/log/wtmp //last 登录日志记录:/var/log/secure

​ 目前登录用户信息:/var/run/utmp //w、who、users

​ 历史命令记录:history​ 仅清理当前用户: history -c

日志分析技巧

A、常用的shell命令
Linux下常用的shell命令如:find、grep 、egrep、awk、sed

小技巧:

1、grep显示前后几行信息:

  1. ​    标准unix/linux下的grep通过下面參数控制上下文:
  2. ​    grep -C 5 foo file 显示file文件里匹配foo字串那行以及上下5行
  3. ​    grep -B 5 foo file 显示foo及前5行
  4. ​    grep -A 5 foo file 显示foo及后5行
  5. ​    查看grep版本号的方法是
  6. ​    grep -V
复制代码

2、grep 查找含有某字符串的所有文件

  1.     grep -rn "hello,world!"
  2.     * : 表示当前目录所有文件,也可以是某个文件名
  3.     -r 是递归查找
  4.     -n 是显示行号
  5.     -R 查找所有文件包含子目录
  6.     -i 忽略大小写
复制代码

3、如何显示一个文件的某几行:

  1.     cat input_file | tail -n +1000 | head -n 2000
  2.     #从第1000行开始,显示2000行。即显示1000~2999行
复制代码

4、find /etc -name init

  1. //在目录/etc中查找文件init
复制代码



5、只是显示/etc/passwd的账户


  1. `cat /etc/passwd |awk  -F ':'  '{print $1}'`  
  2. //awk -F指定域分隔符为':',将记录按指定的域分隔符划分域,填充域,​$0则表示所有域,$1表示第一个域,​$n表示第n个域。
复制代码


6、sed -i '153,$d' .bash_history


  1. 删除历史操作记录,只保留前153行
复制代码

日志分析技巧


A、/var/log/secure


  1. 1、定位有多少IP在爆破主机的root帐号:   
  2. grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

  3. 定位有哪些IP在爆破:
  4. grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

  5. 爆破用户名字典是什么?
  6. grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

  7. 2、登录成功的IP有哪些:     
  8. grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

  9. 登录成功的日期、用户名、IP:
  10. grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

  11. 3、增加一个用户kali日志:
  12. Jul 10 00:12:15 localhost useradd[2382]: new group: name=kali, GID=1001
  13. Jul 10 00:12:15 localhost useradd[2382]: new user: name=kali, UID=1001, GID=1001, home=/home/kali
  14. , shell=/bin/bash
  15. Jul 10 00:12:58 localhost passwd: pam_unix(passwd:chauthtok): password changed for kali
  16. #grep "useradd" /var/log/secure

  17. 4、删除用户kali日志:
  18. Jul 10 00:14:17 localhost userdel[2393]: delete user 'kali'
  19. Jul 10 00:14:17 localhost userdel[2393]: removed group 'kali' owned by 'kali'
  20. Jul 10 00:14:17 localhost userdel[2393]: removed shadow group 'kali' owned by 'kali'
  21. # grep "userdel" /var/log/secure

  22. 5、su切换用户:
  23. Jul 10 00:38:13 localhost su: pam_unix(su-l:session): session opened for user good by root(uid=0)

  24. sudo授权执行:
  25. sudo -l
  26. Jul 10 00:43:09 localhost sudo:    good : TTY=pts/4 ; PWD=/home/good ; USER=root ; COMMAND=/sbin/shutdown -r now
复制代码


2、/var/log/yum.log

软件安装升级卸载日志:

~~~yum install gcc yum install gcc
[root@bogon ~]# more /var/log/yum.log
Jul 10 00:18:23 Updated: cpp-4.8.5-28.el7_5.1.x86_64 Jul 10 00:18:24 Updated: libgcc-4.8.5-28.el7_5.1.x86_64 Jul 10 00:18:24 Updated: libgomp-4.8.5-28.el7_5.1.x86_64 Jul 10 00:18:28 Updated: gcc-4.8.5-28.el7_5.1.x86_64 Jul 10 00:18:28 Updated: libgcc-4.8.5-28.el7_5.1.i686 ~~~

*本篇章将本着学习的态度进行分享,严禁用于个人非法行为以及黑产获取!!!!

以上就是本次的渗透安全之Window日志分析篇讲解分享,一句忠告:业务备份一时不做一时爽,问题出现两行泪,感谢大佬们的参阅,此贴先到这里后续会带上更加实用的帖子,感谢大家!

励志分享超清壁纸语句~~:




大雪压青松,青松挺且直。要知松高洁,待到雪化时。——陈毅《青松》


好的今天就到这里,老样子,感谢各位大神的参阅,孩子为了挣豆子不容易,孩子家里穷没豆子吃饭了!!!

打赏鼓励作者,期待更多好文!

打赏
34人已打赏

发表新帖
热门标签
全部标签>
每日一问
2024年技术争霸赛
技术盲盒
干货满满
技术笔记
产品连连看
信服课堂视频
2023技术争霸赛专题
自助服务平台操作指引
每周精选
功能体验
技术咨询
GIF动图学习
新版本体验
秒懂零信任
标准化排查
信服圈儿
安全攻防
技术晨报
在线直播
通用技术
问题分析处理
每日一记
社区帮助指南
安装部署配置
运维工具
终端接入
天逸直播
以战代练
齐鲁TV
畅聊IT
答题自测
专家问答
技术圆桌
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
流量管理
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
纪元平台
卧龙计划
华北区拉练
山东区技术晨报
文档捉虫活动
华北区交付直播
北京区每日一练

本版达人

ggbang

本周建议达人

adds

本周提问达人