阅读提示：在Unix系统遭受***后，确定损失及***者的***源地址相当重要。虽然在大多数***者懂得使用曾
被他们攻陷的机器作为跳板来***你的服务器可在他们发动正式***前所做的目标信息收集工作（试探性扫描）
常常是从他们的工作机开始的，本篇介绍如何从遭受***的系统的日志中分析出***者的IP并加以确定的。
在Unix系统遭受***后，确定损失及***者的***源地址相当重要。虽然在大多数***者懂得使用曾被他们攻陷的
机器作为跳板来***你的服务器可在他们发动正式***前所做的目标信息收集工作（试探性扫描）常常是从他们的
工作机开始的，本篇介绍如何从遭受***的系统的日志中分析出***者的IP并加以确定的。
1）messages
/var/adm是UNIX的日志目录（linux下则是/var/log）。有相当多的ASCII文本格式的日志保存之下，当然，让我们把焦
点首先集中在messages 这个文件,这也是***者所关心的文件，它记录了来自系统级别的信息。在这里，大量的日志记
录对于我们是无用的。
比如:
Apr 25 21:49:30 2000 unix: Copyright (c) 1983-1997, Sun Microsystems, Inc.
Apr 25 21:49:30 2000 unix: mem = 262144K (0x10000000)
这样显示版权或者硬件信息的记录而:
Apr 29 19:06:47 www login[28845]: FAILED LOGIN 1 FROM xxx.xxx.xxx.xxx ,
User not known to the underlying authentication module
这样的登录失败记录:
Apr 29 22:05:45 game PAM_pwdb[29509]: (login) session opened for user ncx by (uid=0)因此第一步应该是 Kill -HUP cat `/var/run/syslogd.pid`（当然，有可能***者已经帮我们做过了，;-)那样我们得不到任何有用信息）
在下面这个网址你可以找到大量的日志审计分析工具或者脚:
[url]http://www.antian365.com/tem[/url] ... platform=&path=[%20auditing%20][%2-0log%20analysis%20]
2）wtmp,utmp logs,ftp日志
你能够在/var/adm,/var/log,/etc目录中找到名为wtmp,utmp的文件,这记录着用户何时，何地telnet上主机，在***中最
古老也是最流行的zap2(编译后的文件名一般叫做z2，或者是叫wipe). 也是用来抹掉在这两个文件中用户登录的信息的，
然而由于懒惰或者糟糕的网络速度(>3秒的echo就令人崩溃，而我经常遇见10 倍于此的回显时间 )，很多***者没有上载
或编译这个文件，管理员所需要就是使用lastlog这个命令来获得***者上次连接的源地址（当然，这个地址有可能是他们
的一个跳板）ftp日志一般是/var/log/xferlog，该文本形式的文件详细的记录了以FTP 方式上传文件的时间，来源，文件名
等等。不过由于该日志太明显，所以稍微高明些的***者几乎不会使用该方法来传文件。而使用rcp的较普遍些.当然你可以 # cat /var/log/xferlog | grep -v 202.106.147.来查看那些不应该出现的地址。
3）sh_history
在获得root 权限后，***者建立了他们自己的***帐号，更高级的技巧是给类似uucp，lp不常使用的系统用户名加上
密码。在遭受***后，即使***者删除了. sh_history或者.bash_hi-story 这样的文件，执行kill -HUP `cat /var/run
/inetd.conf`即可将保留在内存页中的bash命令记录重新写回到磁盘，然后执行find / -name.sh_historyprint，仔细
查看每个可疑的shell命令日志。尤其是当你在/usr/spool/lp(lp home dir),/usr/lib/uucp/(uucp home dir)这样的目录
下找了.sh_history文件时。往往***者在需要目标机和工作机传送文件时为了避免被syslog,可能使用从目标机ftp到工
作机的方法，因此在sh_history中你有可能发现类似ftp xxx.xxx.xxx.xxx或者[email]rcpnobody@xxx.xxx.xxx.xxx[/email]:/tmp/backdoor /tmp/backdoor这样显示出***者IP或域名的命令。
4）http服务器日志
这很有可能是确定***者的真实***发源地的最有效方法。以最流行的apache服务器为例，在?${prefix}/logs/ 目录
下你可以发现access.log这个文件，该文件记载了访问者的IP,访问的时间和请求访问的内容。在遭受***后，我们应该
可以在该文件中发现类似下面的:record:xxx.xxx.xxx.xxx - - [28/Apr/2000:00:29:05 -0800] "GET/cgi-bin/rguest.exe"404 -xxx.xxx.xxx.xxx - - [28/Apr/2000:00:28:57 -0800] "GET /msads/Samples/SELECTOR/showcode.asp" 404 -来自IP为xxx.xxx.xxx.xxx的某人在2000年4月28号的0点28分试图访问 /msads/Samples/SELECTOR/showcode.asp文件，这是在
使用web cgi扫描器后遗留下的日志。大部分的web扫描器都是基于MS操作系统的，而为了更快的速度，使用基于Unix的
扫描器的***者常选择离自己最近的服务器。结合***时间和IP，我们可以知道***者的大量信息。
5）核心dump
这是一种相对较复杂的方法，但是也有效。一个安全稳定的守护进程在正常运行的时候是不会dump出系统的核心，当入
侵者利用远程漏洞***时，许多服务正在执行一个getpeername的 socket 函数调用(参见socket编程)，因此***者的IP
也保存在内存中，此时服务overflow ,系统p 内存页文件被dump到core文件,这意味着你可能在一大段杂乱无章的字符中
（事实上是一个全局数据库中的进程变量）找到一个包含有执行此 expoloit的IP。BTW: 这段是参考了[url]http://members.tripod.com/mixtersecurity/paper.html[/url]后写出的，我做了一个cmsd的远程***测试，但只在中间找到了
***者远程overflow的部分命令，没有找到IP。不过这仍有理由相信Mixter(paper.html的作者)的话。
6）代理服务器日志
代理是大中型企业网常使用来做为内外信息交换的一个接口，它忠实地记录着每一个用户所访问的内容，当然，也包括入
侵者的访问内容。以最常用的 squid代理为例，通常你可以在/usr/local/squid/logs/下找到access.log 这个庞大的日志文件，
当然，由于日志记录添加得很快，在安全事故后应该及时备份它。你可以在以下地址获得squid的日志分析
脚本:http: //www.antian365.com/Doc/Users-Guide/added/stats.html通过对敏感文件访问日志的分析，可以
知道何人在何时访问了这些本该保密的内容。
7）路由器日志
默认方式下路由器不会记录任何扫描和登录，因此***者常用它做跳板来进行***。如果你的企业网被划分为军
事区和非军事区的话，添加路由器的日志记录将有助于日后追踪***者。更重要的是，对于管理员来说，这样的
设置能确定***者到底是内贼还是外盗。当然，你需要额外的一台服务器来放置 router.log文件。
在CISCO路由器上:
router(config)# logging faclity syslog
router(config)# logging trap informational
router(config)# logging [服务器名]
在log server上：
I .在/etc/syslog.conf中加入一行:
*.info /var/log/router.log
II . 生成文件日志文件：
touch /var/log/router.log
III .重起syslogd进程:
kill -HUP `cat /var/run/syslogd.pid`
对于***者来说，在实施***的整个过程中不与目标机试图建立tcp连接是不太可能的，这里有许多***者主观
和客观的原因，而且在实施***中不留下日志也是相当困难的。如果我们花上足够的时间和精力，是可以从大量
的日志中分析出我们希望的信息。就***者的行为心理而言，他们在目标机上取得的权限越大，他们就越倾向于
保守的方式来建立与目标机的连接。仔细分析早期的日志，尤其是包含有扫描的部分，我们能有更大的收获。
日志审计只是作为***后的被动防御手段。主动的是加强自身的学习，及时升级或更新系统。做到有备无患才是
最有效的防止***的方法。
被他们攻陷的机器作为跳板来***你的服务器可在他们发动正式***前所做的目标信息收集工作（试探性扫描）
常常是从他们的工作机开始的，本篇介绍如何从遭受***的系统的日志中分析出***者的IP并加以确定的。
在Unix系统遭受***后，确定损失及***者的***源地址相当重要。虽然在大多数***者懂得使用曾被他们攻陷的
机器作为跳板来***你的服务器可在他们发动正式***前所做的目标信息收集工作（试探性扫描）常常是从他们的
工作机开始的，本篇介绍如何从遭受***的系统的日志中分析出***者的IP并加以确定的。
1）messages
/var/adm是UNIX的日志目录（linux下则是/var/log）。有相当多的ASCII文本格式的日志保存之下，当然，让我们把焦
点首先集中在messages 这个文件,这也是***者所关心的文件，它记录了来自系统级别的信息。在这里，大量的日志记
录对于我们是无用的。
比如:
Apr 25 21:49:30 2000 unix: Copyright (c) 1983-1997, Sun Microsystems, Inc.
Apr 25 21:49:30 2000 unix: mem = 262144K (0x10000000)
这样显示版权或者硬件信息的记录而:
Apr 29 19:06:47 www login[28845]: FAILED LOGIN 1 FROM xxx.xxx.xxx.xxx ,
User not known to the underlying authentication module
这样的登录失败记录:
Apr 29 22:05:45 game PAM_pwdb[29509]: (login) session opened for user ncx by (uid=0)因此第一步应该是 Kill -HUP cat `/var/run/syslogd.pid`（当然，有可能***者已经帮我们做过了，;-)那样我们得不到任何有用信息）
在下面这个网址你可以找到大量的日志审计分析工具或者脚:
[url]http://www.antian365.com/tem[/url] ... platform=&path=[%20auditing%20][%2-0log%20analysis%20]
2）wtmp,utmp logs,ftp日志
你能够在/var/adm,/var/log,/etc目录中找到名为wtmp,utmp的文件,这记录着用户何时，何地telnet上主机，在***中最
古老也是最流行的zap2(编译后的文件名一般叫做z2，或者是叫wipe). 也是用来抹掉在这两个文件中用户登录的信息的，
然而由于懒惰或者糟糕的网络速度(>3秒的echo就令人崩溃，而我经常遇见10 倍于此的回显时间 )，很多***者没有上载
或编译这个文件，管理员所需要就是使用lastlog这个命令来获得***者上次连接的源地址（当然，这个地址有可能是他们
的一个跳板）ftp日志一般是/var/log/xferlog，该文本形式的文件详细的记录了以FTP 方式上传文件的时间，来源，文件名
等等。不过由于该日志太明显，所以稍微高明些的***者几乎不会使用该方法来传文件。而使用rcp的较普遍些.当然你可以 # cat /var/log/xferlog | grep -v 202.106.147.来查看那些不应该出现的地址。
3）sh_history
在获得root 权限后，***者建立了他们自己的***帐号，更高级的技巧是给类似uucp，lp不常使用的系统用户名加上
密码。在遭受***后，即使***者删除了. sh_history或者.bash_hi-story 这样的文件，执行kill -HUP `cat /var/run
/inetd.conf`即可将保留在内存页中的bash命令记录重新写回到磁盘，然后执行find / -name.sh_historyprint，仔细
查看每个可疑的shell命令日志。尤其是当你在/usr/spool/lp(lp home dir),/usr/lib/uucp/(uucp home dir)这样的目录
下找了.sh_history文件时。往往***者在需要目标机和工作机传送文件时为了避免被syslog,可能使用从目标机ftp到工
作机的方法，因此在sh_history中你有可能发现类似ftp xxx.xxx.xxx.xxx或者[email]rcpnobody@xxx.xxx.xxx.xxx[/email]:/tmp/backdoor /tmp/backdoor这样显示出***者IP或域名的命令。
4）http服务器日志
这很有可能是确定***者的真实***发源地的最有效方法。以最流行的apache服务器为例，在?${prefix}/logs/ 目录
下你可以发现access.log这个文件，该文件记载了访问者的IP,访问的时间和请求访问的内容。在遭受***后，我们应该
可以在该文件中发现类似下面的:record:xxx.xxx.xxx.xxx - - [28/Apr/2000:00:29:05 -0800] "GET/cgi-bin/rguest.exe"404 -xxx.xxx.xxx.xxx - - [28/Apr/2000:00:28:57 -0800] "GET /msads/Samples/SELECTOR/showcode.asp" 404 -来自IP为xxx.xxx.xxx.xxx的某人在2000年4月28号的0点28分试图访问 /msads/Samples/SELECTOR/showcode.asp文件，这是在
使用web cgi扫描器后遗留下的日志。大部分的web扫描器都是基于MS操作系统的，而为了更快的速度，使用基于Unix的
扫描器的***者常选择离自己最近的服务器。结合***时间和IP，我们可以知道***者的大量信息。
5）核心dump
这是一种相对较复杂的方法，但是也有效。一个安全稳定的守护进程在正常运行的时候是不会dump出系统的核心，当入
侵者利用远程漏洞***时，许多服务正在执行一个getpeername的 socket 函数调用(参见socket编程)，因此***者的IP
也保存在内存中，此时服务overflow ,系统p 内存页文件被dump到core文件,这意味着你可能在一大段杂乱无章的字符中
（事实上是一个全局数据库中的进程变量）找到一个包含有执行此 expoloit的IP。BTW: 这段是参考了[url]http://members.tripod.com/mixtersecurity/paper.html[/url]后写出的，我做了一个cmsd的远程***测试，但只在中间找到了
***者远程overflow的部分命令，没有找到IP。不过这仍有理由相信Mixter(paper.html的作者)的话。
6）代理服务器日志
代理是大中型企业网常使用来做为内外信息交换的一个接口，它忠实地记录着每一个用户所访问的内容，当然，也包括入
侵者的访问内容。以最常用的 squid代理为例，通常你可以在/usr/local/squid/logs/下找到access.log 这个庞大的日志文件，
当然，由于日志记录添加得很快，在安全事故后应该及时备份它。你可以在以下地址获得squid的日志分析
脚本:http: //www.antian365.com/Doc/Users-Guide/added/stats.html通过对敏感文件访问日志的分析，可以
知道何人在何时访问了这些本该保密的内容。
7）路由器日志
默认方式下路由器不会记录任何扫描和登录，因此***者常用它做跳板来进行***。如果你的企业网被划分为军
事区和非军事区的话，添加路由器的日志记录将有助于日后追踪***者。更重要的是，对于管理员来说，这样的
设置能确定***者到底是内贼还是外盗。当然，你需要额外的一台服务器来放置 router.log文件。
在CISCO路由器上:
router(config)# logging faclity syslog
router(config)# logging trap informational
router(config)# logging [服务器名]
在log server上：
I .在/etc/syslog.conf中加入一行:
*.info /var/log/router.log
II . 生成文件日志文件：
touch /var/log/router.log
III .重起syslogd进程:
kill -HUP `cat /var/run/syslogd.pid`
对于***者来说，在实施***的整个过程中不与目标机试图建立tcp连接是不太可能的，这里有许多***者主观
和客观的原因，而且在实施***中不留下日志也是相当困难的。如果我们花上足够的时间和精力，是可以从大量
的日志中分析出我们希望的信息。就***者的行为心理而言，他们在目标机上取得的权限越大，他们就越倾向于
保守的方式来建立与目标机的连接。仔细分析早期的日志，尤其是包含有扫描的部分，我们能有更大的收获。
日志审计只是作为***后的被动防御手段。主动的是加强自身的学习，及时升级或更新系统。做到有备无患才是
最有效的防止***的方法。
