solaris中的系統log日志原理分析
2024-07-26 00:29:59
供稿：網友
作為攻擊者當然要知道系統是如何紀錄用戶的活動的情況的原理的了，呵呵，不然ip被記下來都不知道！
呵呵，其實一些人只會到/var/adm/目錄里去刪日志，那是很笨很笨的做法。
前段時間在www.unixaid.net結識了一個外地的系統管理員，談了談，深有心得所以我把這些寫下來，呵呵。
unix系統的日志其實是非常復雜和強大的，特別是solaris系統，因為源碼的不公開，所以被蒙上了一層神秘的面紗，我研究分析了一陣子得出的結論和大家分享，我的能力有限，還望大家多多指教。
負責日志記帳的有兩個守護進程：klogd,syslogd，我著重講這兩個進程，當然還有進程記帳進程，就不多介紹了，呵呵，因為基本上所有的系統動作都會被這兩個進程監視并紀錄，大家如果要編寫一些系統程序的話，也會用到syslog這個接口的，呵呵，klogd主要紀錄一些系統內核的動作，對攻擊者最受影響的是syslogd這個進程.它可以接收訪問系統的日志信息并且根據/etc/syslog.conf配置文件中的指令處理
這些信息。因此，任何希望生成日志信息的程序都可向syslog接口呼叫來生成改信息。大部分內部系統工具如郵件和打印系統都是如此生成信息的，許多新增的程序如TCP_wrappers和SSH也是如此工作的。講到這里，大家有點概念了吧？呵呵
/etc/syslog.conf的格式比較復雜，大家可以參考一下有關書籍，主要是如下語句形式：
facility.level action
facility代表各種服務，level代表syslog的認證級別，action代表的是針對前面信息的處理。大家可以注意action字段，有時候會把信息發送到另外一臺機器而不是熟悉的/var/adm/messages的，這下應該知道這個文件的重要性了吧？如果真把日志發到另外一臺機器的話，就想辦法把那臺機器dos掉了，不是它死你是你亡啊，呵呵，有時會發送到/dev/console,/dev/tty1或/dev/lp1等等這樣的設備，就是發送到終端啊，呵呵，想想如果那終端作的是系統管理員，你不是很慘？
現在大家應該知道不是刪刪/var/adm/messages就了事的吧?呵呵
好，下面介紹一下solaris的另外一個記帳，就是wtmp和utmp，說明一下大家常見到的wtmpx和utmpx是wtmp和utmp的擴展罷了，大家可以參看wtmp.h，utmp.h里的定義的數據結構，會有寫概念，呵呵，在solaris里是通過utmpd，wtmpd這兩個進程來進行記帳的，然后通過utmppipe這個管道文件向/var/adm/utmpx這個文件寫數據，當然utmpx這個文件不是象messages一樣是文本形式的，它是二進制的，只有who,finger命令可以訪問，呵呵，大家知道了吧？而last命令是訪問wtmpx的。utmp是紀錄用戶的動態會話用的，而wtmp是紀錄用戶的登陸與推出的活動的，這就是區別，呵呵。寫這篇
文章只是要提醒大家不要隨便刪日志，那很傻的，呵呵，最好自己編寫一些刪日志的小工具，很容易，大家參考一下utmp這個數據結構就可以了，也可以用一個命令來刪除messages中的紀錄：
eagle~# more /var/adm/messages|grep -v 或 >/var/adm/messages
很簡單不是么？呵呵，當然utmp,wtmp中的紀錄就要用程序解決了，也有現成的程序比如：
wtmpdump.c,marry.c,remove.c等等，呵呵都不錯的，我主頁上有下載，呵呵
attacker.qzone.com
好了，就說這么多了，重申一句，我只是為了讓大家進行愛國主義行動的時候注意以下善后的工作，呵呵其中牽涉到的只是非常多，我很多沒有詳細說明和講解，希望大家重視日志，參考一下有關資料。
忘了，這些是solaris中的情況，呵呵，在linux里又大不一樣，呵呵，linux里沒有utmpd這個進程，是通過PAM的認證模塊來進行記帳的，PAM的資料大家可以參考一下書籍很復雜，說的話會近萬字呢，呵呵
注：本文版權為補天網絡安全公司，轉載請保持文章的完整性！
