玄机平台应急响应—Linux日志分析

1、前言

啥是日志呢，日志就是字面意思，用来记录你干了啥事情。日志大体可以分为网站日志和系统日志，网站日志呢就是记录哪个用户在哪里什么时候干了啥事，以及其它的与网站相关的事情。系统日志呢，就是记录你的电脑系统或者服务器什么时候干了什么事情，比如系统更新，用户登录等于系统相关的事情。简单来说日志就是把你对这个网站或者系统做的事情都记录下来，既然如此，那么当一个网站被入侵或者服务器被入侵时，我们是不是可以通过分析相关的日志来还原攻击者干了啥。

2、Linux日志

Linux的日志都是存放在/var/log下面滴，查看日志配置情况：more /etc/rsyslog.conf。

然后一般来说主要分析的日志是secure、wtmp、utmp、lastlog、btmp。

3、常用日志分析命令

awk '{print $11}'输出第11个字段的值，sort -nr依照数值的大小排序且以相反的顺序来排序，uniq -c在每行前面加上此行在文件中出现的次数，

1、查看多少个IP在爆破主机root账号
cat /var/log/secure  | grep -a "Failed password for root" | awk '{print $11}' | sort | uniq -c | sort -nr | more
2、爆破用户名字典是什么？
cat /var/log/secure | grep -a "Failed password" |perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr
3、登录成功的IP有哪些
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more
4、登录成功的日期、用户名、IP
cat /var/log/secure | grep -a "Accepted " | awk '{print $1,$2,$3,$9,$11}'
5、查看新增用户
cat /var/log/secure |grep -a "new user"

4、玄机平台实战

这里还是借助玄机平台的靶机进行演示，比较简单的一个靶机。

这里看了一圈没发现seure这个日志，然后我逐个日志查看发现auth.log.1这个日志充当了这个角色。

那我们只需围绕着auth.log.1来进行分析即可。

有多少IP在爆破主机ssh的root帐号，如果有多个使用","分割。

flag{192.168.200.2,192.168.200.31,192.168.200.32}

 cat /var/log/auth.log.1 | grep -a "Failed password for root" | awk '{print $11}' | sort | uniq -c | sort -nr | more

ssh爆破成功登陆的IP是多少，如果有多个使用","分割。

flag{192.168.200.2}

cat /var/log/auth.log.1 | grep -a "Accepted " | awk '{print $11}' | sort | uniq -c | sort -nr | more

爆破用户名字典是什么？如果有多个使用","分割。

flag{user,hello,root,test3,test2,test1}

cat /var/log/auth.log.1 | grep -a "Failed password" |perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

登陆成功的IP共爆破了多少次。

我们先看看那个ip成功登录了，再查看上面第一步的数据即可。

flag{4}

cat /var/log/auth.log.1 | grep -a "Accepted " | awk '{print $1,$2,$3,$9,$11}'

黑客登陆主机后新建了一个后门用户，用户名是多少。

flag{test2}

cat /var/log/auth.log.1 |grep -a "new user"

5、总结

在现实中的日志往往会更庞大更复杂，肯定不会像靶机一样光敲命令就完事了。更多的是需要具体情况具体分析。

最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。