第一章 应急响应-Linux日志分析

简介

账号root密码linuxrz
ssh root@IP
1.有多少IP在爆破主机ssh的root帐号，如果有多个使用","分割
2.ssh爆破成功登陆的IP是多少，如果有多个使用","分割
3.爆破用户名字典是什么？如果有多个使用","分割
4.登陆成功的IP共爆破了多少次
5.黑客登陆主机后新建了一个后门用户，用户名是多少

解题

一、有多少IP在爆破主机ssh的root帐号

日志默认存放位置：/var/log/

查看日志配置情况：more /etc/rsyslog.conf

比较重要的几个日志： 登录失败记录：/var/log/btmp //lastb 最后一次登录：/var/log/lastlog //lastlog 登录成功记录: /var/log/wtmp //last 登录日志记录：/var/log/secure

目前登录用户信息：/var/run/utmp //w、who、users

历史命令记录：history 仅清理当前用户： history -c

cat auth.log.1 | grep -a "Failed password for root"

二、ssh爆破成功登陆的IP是多少

成功登录会出现Accepted

cat auth.log.1 | grep -a "Accepted"

三、爆破用户名字典是什么

出现password就可以

cat auth.log.1 | grep -a "Failed password"

四、登陆成功的IP共爆破了多少次

登录成功一般就出现root字符

cat auth.log.1 | grep -a "Failed password for root"

五、黑客登陆主机后新建了一个后门用户，用户名是多少

创建新用户就会出现new user

cat auth.log.1 | grep -a "new user"

了解到了日志文件其实还有一个**auth.log**的文件日志，不仅仅能够记录认证过程，还能知道系统账户执行了哪些账户操作，还有其他记录类型。