玄机应急响应-Linux日志分析

1、有多少IP在爆破主机ssh的root帐号，如果有多个使用","分割

root@ip-10-0-10-4:/var/log# cat auth.log.1 | grep -a "Failed password for root" | awk '{print($11)}' | uniq | sort
192.168.200.2
192.168.200.31
192.168.200.32

这段命令是用于在 /var/log/auth.log.1 文件中查找所有包含字符串 "Failed password for root" 的行，然后从中提取出IP地址信息，最后进行统计和排序。

---

2.ssh爆破成功登陆的IP是多少，如果有多个使用","分割

root@ip-10-0-10-4:~# cat /var/log/auth.log.1 | grep -a "Accepted password for root" | awk '{print $11}' | sort | uniq -c | sort -nr | more
      2 192.168.200.2

---

3、爆破用户名字典是什么？如果有多个使用","分割

root@ip-10-0-10-4:~# cat /var/log/auth.log.1 | grep -a "Failed password" | perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'| uniq -c | sort -nr
      5  invalid user user
      5  invalid user hello
      5  invalid user 
      4  root
      1  root
      1  root
      1  invalid user test3
      1  invalid user test2
      1  invalid user test1

借鉴大佬：逐步解释perl命令，perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}': 这一部分使用 Perl 脚本。-e 选项表示在命令行中提供脚本代码。Perl 脚本的作用是遍历每一行，然后使用正则表达式 /for(.*?) from/ 捕获括号中的内容，即登录失败的用户名。捕获的内容由 $1 引用，然后通过 print "$1\n"; 打印出来，每个用户名占一行。

---

4、登陆成功的IP共爆破了多少次、

root@ip-10-0-10-4:~# cat /var/log/auth.log.1 | grep -a "Failed password for root" | awk '{print $11}' | sort | uniq -c | sort -nr | more
      4 192.168.200.2
      1 192.168.200.32
      1 192.168.200.31

---

5、黑客登陆主机后新建了一个后门用户，用户名是多少

root@ip-10-0-10-4:~# cat /var/log/auth.log.1 |grep -a "new user"
Aug  1 07:50:45 linux-rz useradd[7551]: new user: name=test2, UID=1000, GID=1000, home=/home/test2, shell=/bin/sh
Aug  1 08:18:27 ip-172-31-37-190 useradd[487]: new user: name=debian, UID=1001, GID=1001, home=/home/debian, shell=/bin/bash

---