6.2 Linux痕迹清除

痛定思痛。 2022-01-16 06:57 526阅读 0赞

Linux 日志文件一般包括如下：

(1) /var/log/messages：每一行包含日期、主机名、程序名，接着是PID或内核标识，最后是消息；文本文件

(2) /var/log/wtmp：永久记录每个用户登录、注销及系统的启动和关机事件，用来查看用户的登录记录，last命令通过访问这个文件获得信息；二进制文件，使用last命令查看

(3) /var/run/utmp：记录有关当前登录的每个用户的信息，文件内容随着用户登录和注销系统而不断变化，它只保留联机用户的记录，不会保留永久记 录，系统程序如who、w、users、finger等就需要访问这个文件；二进制文件，使用w命令查看

(4) /var/log/lastlog：记录最近几次成功登录的事件和最后一次不成功的登录事件；二进制文件 使用lastlog命令查看

(5) /var/log/syslog：记录所有的系统事件。文本文件

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 1][]

1、直接删除日志：攻击者可以暴力使用shred或rm命令直接删除日志文件，但是这相当于告诉管理员系统已经被入侵，通常只修改日志文件而不是进行删除

2、修改日志文件：messages和syslog日志都是文本文件，可以直接使用文本编辑器vim等手动修改，示例以messages日志为例，如下

![20190622104657449.png][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 2][]

修改完成后，可以使用touch命令修改日志文件的访问时间和修改时间

touch -r lastlog messages

或者使用-t参数自定义文件的时间戳。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 3][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 4][]

当攻击者使用ssh 或者telnet等客户端登录时，所有的操作命令都会记录在shell 的相应历史(history)文件中，例如bash会在用户主目录的“.bash\_history”（该文件默认具有隐藏属性）文件里记录所有操作的命令。因此，进入系统时首先要禁止Linux记录这些操作，可以使用unset命令清除相应的环境变量。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 5][]

执行如下命令后，系统将不再记录历史命令：最为明显的现象就是我们按上下键时，不再显示历史命令。

unset HISTORY HISTFILE HISTSAVE HISTZONE HISTORY HISTLOG
    export HISTFILE=/dev/null
    export HISTSIZE=0
    export HISTFILESIZE=0

![20190622114720593.png][]

utmp、wtmp和lastlog日志文都是二进制文件，不能通过文本编辑器直接修改，需要借助第三方日志管理工具进行，如下：

一、Logtamper：[https://github.com/re4lity/logtamper][https_github.com_re4lity_logtamper]  v1.1

python logtamper.py -m 2 -u root -i 192.168.57.129
    python logtamper.py -m 1 -u root -i 192.168.57.129
    python logtamper.py -m 3 -u root -i 192.168.57.129 -t tty1 -d 2019:06:22:09:30:30

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 6][]

结果

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 7][]

![2019062210185635.png][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 8][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 9][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 10][]

2.wtmpclean：[https://github.com/madrisan/wtmpclean][https_github.com_madrisan_wtmpclean]  v0.6.2(探究)

二、应用痕迹

apache mysql

sed -i 's/192\.168\.57\.133/1\.1\.1\.1/g' /var/log/apache2/access.log

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 11][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 12][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20190622110224268.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 1]: /images/20220114/a075ca7f7c93464abc8c4f7e51683641.png
[20190622104657449.png]: /images/20220114/bf2de6ad65374dd9977236e0b0af269d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 2]: /images/20220114/fd0269db434a43aaacbc19f4bbe051d2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 3]: /images/20220114/70bdb992cc514eb0872b61616be49d5a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 4]: /images/20220114/2e2ecb2db7c04f1f82a967a4d5054954.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 5]: /images/20220114/cfd779bdc31c4e58a8faa1f2224f33cb.png
[20190622114720593.png]: /images/20220114/3cdf40140ab54793813cf70b28810563.png
[https_github.com_re4lity_logtamper]: https://github.com/re4lity/logtamper
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 6]: /images/20220114/41f41a75d0574ddfb46ba4a878ed5419.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 7]: /images/20220114/5ce018a20db34320afebfab8b24da3fb.png
[2019062210185635.png]: /images/20220114/6af872dfbc314051adaf755867763a25.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 8]: /images/20220114/d7e8faf6d41941debe2f9e5f300d0ca5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 9]: /images/20220114/b2c778842d8d4d49b220071fbbb52a00.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 10]: /images/20220114/9eec960d429d4ebf975ce23e82cbc5c4.png
[https_github.com_madrisan_wtmpclean]: https://github.com/madrisan/wtmpclean
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 11]: /images/20220114/d7d8f51a10cc4849b4609d1bf842237c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 12]: /images/20220114/b2c4173a189640b4952b76197b3e0630.png