玄机 第一章 应急响应-linux日志分析

1.题目

2

打开靶机并用远程连接工具连接

2.1

有多少IP在爆破主机ssh的root帐号，如果有多个使用","分割 小到大排序 例如flag{192.168.200.1,192.168.200.2}

cat /var/log/auth.log.1 | grep -a "Failed password for root" | awk '{print $11}' | sort | uniq -c | sort -nr | more    #显示/var/log/auth.log.1文件中针对root用户密码认证失败的尝试中最常出现的IP地址及其尝试次数

flag{192.168.200.2,192.168.200.31,192.168.200.32}

2.2

ssh爆破成功登陆的IP是多少，如果有多个使用","分割

cat /var/log/auth.log.1 | grep -a "Accepted " | awk '{print $11}' | sort | uniq -c | sort -nr | more  #找出并显示/var/log/auth.log.1文件中成功认证（即“Accepted”）的登录尝试中最常出现的IP地址及其出现的次数

flag{192.168.200.2}

2.3

爆破用户名字典是什么？如果有多个使用","分割

cat /var/log/auth.log.1 | grep -a "Failed password" |perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr   #/var/log/auth.log.1文件中提取所有包含"Failed password"的行，然后从这些行中解析出尝试登录但密码失败的用户的名称（或尝试登录的账户名），并统计每个账户名出现的次数，最后按次数降序排序显示

flag{user,hello,root,test3,test2,test1}

2.4

成功登录 root 用户的 ip 一共爆破了多少次

cat auth.log.1 | grep -a "192.168.200.2" | grep "for root"   #从名为auth.log.1的文件中筛选出包含特定IP地址（192.168.200.2）且尝试以root用户身份登录的所有行

或者第一题中已经得到了root用户尝试了多少次

flag{4}

2.5

黑客登陆主机后新建了一个后门用户，用户名是多少

cat /var/log/auth.log.1 |grep -a "new user"   #从/var/log/auth.log.1文件中筛选出包含字符串"new user"的所有行

flag{test2}