应急溯源SSH日志查看小技巧

 

正常登陆 Linux 以下几个位置记录相关日志:

SSH登录操作相关的日志有以下几个位置:

  • /var/log/btmp,记录错误的登录尝试,查询命令:lastb
    /var/log/auth.log,记录认证成功的用户
    /var/log/secure,记录与安全相关的日志信息
    /var/log/lastlog,记录用户上次登录信息
    /var/log/wtmp,记录当前和曾经登入系统的用户信息,查询命令:last
    /var/run/utmp,记录当前正在登录系统的用户信息,查询命令:w
    ~/.bash_history,记录从最开始至上一次登录所执行过的命令,查询命令:history

    无法直接查看的需要通过:
    strings /var/log/wtmp  
    来查看内容

    正常日志溯源的时候  执行

    ps -aux|grep sshd
    

      

     

     正常登陆 putty 

  • sshd:root@pts/0

  • 使用sftp、rsyn、scp等协议进行登录

  • sshd:root@notty
     

使用notty,能够绕过以下日志:

/var/log/lastlog,记录用户上次登录信息
/var/log/wtmp,记录当前和曾经登入系统的用户信息,查询命令:last
/var/run/utmp,记录当前正在登录系统的用户信息,查询命令:w
~/.bash_history,记录从最开始至上一次登录所执行过的命令,查询命令:history


防御关注点

查看错误的登录尝试,查询命令:lastb,文件位置/var/log/btmp 查看认证成功的用户,文件位置/var/log/auth.log 查看tcp连接,查看命令:netstat -vatn

 

posted @ 2020-09-14 17:08  BuXuan  阅读(655)  评论(0编辑  收藏  举报