整理自：http://bbs.chinaunix.net/　希望沒有侵犯到版權：）

問：比如說ls讓人給重命名成mv了，mv讓人給重命名成ls，用什么方法來檢查來的？

答：Tripwire就是解決這一問題的經典工具，它是目前最為著名的unix下文件系統完整性檢查的軟件工具，這一軟件采用的技術核心就是對每個要監控的文件產生一個數字簽名，保留下來。當文件現在的數字簽名與保留的數字簽名不一致時，那么現在這個文件必定被改動過了。

對unix管理員來說，主機系統的安全一直是個課題，一方面管理員通過更新patch，安裝軟硬件防火墻等手段努力使自己的系統可靠性增強，而另一方面unix操作系統的漏洞總是不斷被發現并被公布出來，如BUGTRAQ這樣的安全列表，從這個角度上可以很絕對的說，互聯網上沒有安全的主機。任何一臺放在Internet上的主機被入侵的潛在可能性是不可逃脫的，而且，對入侵者而言，利用漏洞進入系統往往只是第一步，如果想得到更多的，如超級用戶的密碼，數據庫的口令等，往往需要下點功夫，最便捷也是最有效的就是改動或特洛伊化受侵害的主機上的文件，如放置自己的監聽程序，替代某些關鍵文件，修改編輯可信文件，設置suid文件等。

一些管理員通unix自帶的命令來檢查文件的安全性，如檢查文件生成的時間戳，但這樣的可靠性微乎其微，有經驗的入侵者可以很輕松的修改文件生成時間，有興趣的管理員可以試試以下操作：
# echo "+ +" > /.rhosts
這一步生成一個.rhosts文件，看看它的時間。
# ls -l /.rhosts
-rw-r--r-- 1 root other 4 Jul 2 16：45 /.rhosts
好，我們如下操作看看會怎么樣?
# touch -r /bin/sh /.rhosts
#ls -l /.rhosts
-rw-r--r-- 1 root other 4 Apr 5 16：32 /.rhosts

我們看到時間戳已經變了。變成了一個"老"文件，這樣很可能就會逃脫管理員的視線。比如，入侵者替換掉了su文件，在正當用戶每次試圖su時，這個特洛伊化的su文件都會讀取口令并將口令記載下來，然后才把控制權交給真正的su程序，口令通過這種途徑泄密了，雖然這不是管理員所期望的，但畢竟unix太大太復雜，發現起來很困難。

Tripwire就是解決這一問題的經典工具，它是目前最為著名的unix下文件系統完整性檢查的軟件工具，這一軟件采用的技術核心就是對每個要監控的文件產生一個數字簽名，保留下來。當文件現在的數字簽名與保留的數字簽名不一致時，那么現在這個文件必定被改動過了。具體到監控項目，在Tripwire的配置文件中有如下相應說明：
access permissions and file mode settings， including effective execution settings inode number in the file system

number of links
user ID of the owner
group ID of the group of users to which access may be granted
size of the item
date and time the item was last accessed， the last modification made to the item， and the creation date and time associated with the items inode
由上，我們可以看到Tripwire對文件的管理面是很寬的。

2： Tripwire的工作原理
當Tripwire運行在數據庫生成模式時，會根據管理員設置的一個配置文件對指定要監控的文件進行讀取，對每個文件生成相應數字簽名，并將這些結果保存在自己的數據庫中，在缺省狀態下，MD5和SNCFRN(Xerox的安全哈希函數)加密手段被結合用來生成文件的數字簽名。除此以外，管理員還可使用MD4，CRC32，SHA等哈希函數，但實際上，使用上述兩種哈希函數的可靠性已相當高了，而且結合MD5和sncfrn兩種算法(尤其是sncfrn)對系統資源的耗費已較大，所以在使用時可根據文件的重要性做取舍。當懷疑系統被入侵時，可由Tripwire根據先前生成的，數據庫文件來做一次數字簽名的對照，如果文件被替換，則與Tripwire數據庫內相應數字簽名不匹配， 這時Tripwire會報告相應文件被更動，管理員就明白系統不"干凈"了。

有一點要注意，上述保障機制的重點在于數據庫內的數字簽名，如果數據庫是不可靠的，則一切工作都喪失意義。所以在Tripwire生成數據庫后，這個庫文件的安全極為重要。比較常見的做法是將數據庫文件， Tripwire二進制文件，配置文件單獨保留到"可拿走并鎖起來"的質上，如軟盤，將上述文件復制到軟盤后，關閉寫保護口，鎖到保險柜中。除軟盤外， 一次性介質，如cd-r也是很好的選擇，這樣即使侵入者拿到盤也無計可施。除這種辦法外，利用PGP等加密工具對上述關鍵文件進行數字簽名也是一個很好的選擇。

當然，當管理員自身對某些文件更動時， Tripwire的數據庫必然是需要隨之更新的， Tripwire考慮到了這一點，它有四種工作模式：數據庫生成，完整性檢查，數據庫更新。交互更新。當管理員更動文件后，可運行數據庫更新模式來產生新的數據庫文件。

3：下載Tripwire，安裝前的準備工作
Tripwire支持絕大多數Unix操作系統，它的安裝需要編譯環境，如gcc，cc等，還需要gzip，gunzip等解壓工具。這些工具管理員可從相應站點獲取，這里不討論。Tripwire可從www.tripwire.com獲得，到它的主頁download部分，可以看到當前可免費download的Tripwire1.3 ASR版本，下載下來就是。

4：安裝Tripwire
Tripwire的tar包解開后，我們可以看到如下目錄結構，建議先看看根下的README文件，對Tripwire有個整體的了解。隨后，我們就可以一步步的安裝這個軟件了。

步驟1：匹配主機環境

在Tripwire的根下有Ported這個文件，它是對支持的系統及相關配置文件的描述，管理員第一步需要打開這個文件，找到符合自己系統的描述，本文的測試環境是solaris2.6，我們截取相關部分來看看，
vendor： Sun Microsystems， Inc.
os： SunOS
os version： 5.x (Solaris 2.x)
compiler： cc
cflags： -O
ldflags：
libs：
conf.h： conf-svr4.h
tw.config： tw.Conf.sunos5
notes：
在這一段描述中，要尤其注意的是conf.h 和tw.config對應的行，在下幾步的配置中需要用到它們兩個對應的文件。此處要注意的是：每種操作系統這兩個地方所對應的文件是不同的。