[转帖]如何追踪入侵者 :

如 何 追 踪 入 侵 者 :
 
　 
重 要 观 念 ： 不 管 任 何 网 路 系 统 ， 均 会 有 发 信 站 与 收 信 站 。
 
◆ 黄 力 尧 
 
入 侵 者 的 追 踪 (Intruder Tracing) 
在 区 域 网 路 上 可 能 你 听 过 所 谓 「 广 播 模 式 」 的 资 料 发 送 方 法 ， 
 
此 种 方 法 不 指 定 收 信 站 ， 只 要 和 此 网 路 连 结 的 所 有 网 路 设 备 皆 为 收 信 对 象 。
 
但 是 这 仅 仅 在 区 域 网 路 上 能 够 实 行 ， 因 为 区 域 网 路 上 的 机 器 不 多
 
(和 Internet比 起 来 )。 如 果 想 是 Internet上 有 数 千 万 的 主 机 ， 根 本 就 不 可 能

kaixa · 发表于 2005-2-1 02:59:25

实 施 资 料 广 播 (至 于 IP Multicast算 是 一 种 限 定 式 广 播 Restricted Broadcast，
 
唯 有 被 指 定 的 机 器 会 收 到 ， Internet上 其 他 电 脑 还 是 不 会 收 到 )。 
 
假 设 Internet上 可 以 实 施 非 限 定 广 播 ， 那 随 便 一 个 人 发 出 广 播 讯 息 ，
 
全 世 界 的 电 脑 皆 受 其 影 响 ， 岂 不 世 界 大 乱 ？ 因 此 ， 任 何 区 域 网 路 内 的 路
 
由 器 或 是 类 似 网 路 设 备 都 不 会 将 自 己 区 域 网 路 内 的 广 播 讯 息 转 送 出 去 。 
 
万 一 在 WAN Port收 到 广 播 讯 息 ， 也 不 会 转 进 自 己 的 LAN Port中 。 
而 既 然 网 路 皆 有 发 信 站 与 收 信 站 ， 用 以 标 示 资 讯 发 送 者 与 资 讯 接 收 者 ，
 
除 非 对 方 使 用 一 些 特 殊 的 封 包 封 装 方 式 或 是 使 用 防 火 墙 对 外 连 线 ， 
 
那 么 只 要 有 人 和 你 的 主 机 进 行 通 讯 (寄 信 或 是 telnet、 ftp过 来 都 算 )
 你 就 应 该 会 知 道 对 方 的 位 址 ， 如 果 对 方 用 了 防 火 墙 来 和 你 通 讯 ， 
你 最 少 也 能 够 知 道 防 火 墙 的 位 址 。 也 正 因 为 只 要 有 人 和 你 连 线 ， 
你 就 能 知 道 对 方 的 位 址 ， 那 么 要 不 要 知 道 对 方 位 址 只 是 要 做 不 做 的 问 题 
而 已 。 如 果 对 方 是 透 过 一 台 UNIX主 机 和 你 连 线 ， 则 你 更 可 以 透 过 ident查 到 
 是 谁 和 你 连 线 的 (ident在 元 月 号 专 栏 已 经 有 作 过 讲 解 ， 不 再 赘 述 )。 
在 实 行 TCP/IP通 讯 协 定 的 电 脑 上 ， 通 常 可 以 用 netstat指 令 来 看 到 目 前 连 线 
的 状 况 。 (各 位 读 者 可 以 在 win95、 Novell以 及 UNIX试 试 看 (注 一 ))， 
 在 下 面 的 连 线 状 况 中 ， netstat指 令 是 在 win95上 实 行 的 ， 可 以 看 到 目 前 自 己 
 机器 (Local Address处 )的 telnet port有一台主机 workstation.variox.int由远端

kaixa · 发表于 2005-2-1 03:00:28

(Foreign Address 处 )连 线 进 来 并 且 配 到 1029号 tcp port.而 ccunix1主 机 也 以
 
 ftp port连 到 workstation.variox.int去 。 所 有 的 连 线 状 况 看 得 一 清 二 楚 。
 
 (如 A、 B) 
 
A.在 UNIX主 机 (ccunix1.variox.int)看 netstat 
 
B.另 一 端 在 Windows 95(workstation.variox.int) 看 netstat 
 
虽 然 是 不 同 的 作 业 系 统 ， 但 netstat是 不 是 长 得 很 像 呢 ？ 
　 
通 信 过 程 的 纪 录 设 定 
当 然 ， 如 果 你 想 要 把 网 路 连 线 纪 录 给 记 录 下 来 ， 你 可 以 用 cron table
定 时 去 跑 ： 
netstat ＞ ＞ filename 
 
但 是 UNIX系 统 早 已 考 虑 到 这 一 个 需 求 ， 因 此 在 系 统 中 有 一 个 专 职 记 录
 
系 统 事 件 的 Daemon: syslogd， 应 该 有 很 多 读 者 都 知 道 在 UNIX系 统 的 /var/adm
 
下 面 有 两 个 系 统 纪 录 檔 案 ： syslog与 messages， 一 个 是 一 般 系 统 的 纪 录 ， 
 
一 个 是 核 心 的 纪 录 。 但 是 这 两 个 檔 案 是 从 哪 边 来 的 ， 又 要 如 何 设 定 呢 ？ 
 
 
系 统 的 纪 录 基 本 上 都 是 由 syslogd(System Kernel Log Daemon)来 产 生 ， 而 syslogd
 
的 控 制 是 由 /etc/syslog.conf来 做 的 。 syslog.conf以 两 个 栏 位 来 决 定 要 记 录 
 哪些东西，以及记录到哪边去。下面是一个 Linux系统所附上的

kaixa · 发表于 2005-2-1 03:01:11

syslog.conf
 
檔 案 ， 这 也 是 一 个 最 标 准 的 syslog.conf写 法 ： 
 
格 式 就 是 这 样 子 ， 第 一 栏 写 「 在 什 么 情 况 下 」 以 及 「 什 么 程 度 」 。
 
然 后 用 TAB键 跳 下 一 栏 继 续 写 「 符 合 条 件 以 后 要 做 什 么 」 。 
 
这 个 syslog.conf檔 案 的 作 者 很 诚 实 ， 告 诉 你 只 能 用 TAB来 作 各 栏 位 之 间 的 分 隔 
 
(虽 然 看 来 好 像 他 也 不 知 道 为 什 么 )。 
 
第 一 栏 包 含 了 何 种 情 况 与 程 度 ， 中 间 小 数 点 分 隔 。 另 外 ，
 
星 号 就 代 表 了 某 一 细 项 中 的 所 有 选 项 。 详 细 的 设 定 方 式 如 下 ： 
　 
1. 在 什 么 情 况 ： 各 种 不 同 的 情 况 以 下 面 的 字 串 来 决 定 。 
　 
auth 关 于 系 统 安 全 与 使 用 者 认 证 方 面 
 
 
cron 关 于 系 统 自 动 排 程 执 行 (Cron Table)方 面 
 
daemon 关 于 背 景 执 行 程 式 方 面 
 
kern 关 于 系 统 核 心 方 面 
 
lpr 关 于 印 表 机 方 面 
 
mail 关 于 电 子 邮 件 方 面 
 
news 关 于 新 闻 讨 论 区 方 面 
 syslog 关于系统纪录本身方面

kaixa · 发表于 2005-2-1 03:02:43

user 关 于 使 用 者 方 面 
 
uucp 关 于 UNIX互 拷 (UUCP)方 面 
 
　 
上 面 是 大 部 份 的 UNIX系 统 都 会 有 的 情 况 ， 而 有 些 UNIX系 统 可 能 会 再 分 出
 
不 同 的 项 目 出 来 。 
　 
2. 什 么 程 度 才 记 录 ： 下 面 是 各 种 不 同 的 系 统 状 况 程 度 ，
 
依 照 轻 重 缓 急 排 列 。 
　 
none 不 要 记 录 这 一 项 
debug 程 式 或 系 统 本 身 除 错 讯 息 
info 一 般 性 资 讯 
notice 提 醒 注 意 性 
err 发 生 错 误 
warning 警 告 性 
crit 较 严 重 的 警 告 
alert 再 严 重 一 点 的 警 告 
emerg 已 经 非 常 严 重 了 
 
同 样 地 ， 各 种 UNIX系 统 可 能 会 有 不 同 的 程 度 表 示 方 式 。 有 些 系 统 
 
是 不 另 外 区 分 crit与 alert的 差 别 ， 也 有 的 系 统 会 有 更 多 种 类 的 程 度 变 化 。
 
在 记 录 时 ， syslogd会 自 动 将 你 所 设 定 程 度 以 及 其 上 的 都 一 并 记 录 下 来 。 
 
例 如 若 你 要 系 统 去 记 录 info等 级 的 事 件 ， 则 notice、 err.warning、 crit、 alert、

kaixa · 发表于 2005-2-1 03:04:21

emerg等 在 info等 级 以 上 的 也 会 一 并 被 记 录 下 来 。 把 上 面 所 写 的 1、 2项 
 
以 小 数 点 组 合 起 来 就 是 完 整 的 「 要 记 录 哪 些 东 西 」 的 写 法 。 例 如
 
 mail.info表 示 关 于 电 子 邮 件 传 送 系 统 的 一 般 性 讯 息 。 auth.emerg就 是
 
 关 于 系 统 安 全 方 面 相 当 严 重 的 讯 息 。 lpr.none表 示 不 要 记 录 关 于 列 表 机 
 
的 讯 息 (通 常 用 在 有 多 个 纪 录 条 件 时 组 合 使 用 )。 另 外 有 三 种 特 殊 的 符 号 
 
可 供 应 用 ： 
1. 星 号 (*) 
星 号 代 表 某 一 细 项 中 所 有 项 目 。 例 如 mail.*表 示 只 要 有 关 mail的 ， 
 
不 管 什 么 程 度 都 要 记 录 下 来 。 而 *.info会 把 所 有 程 度 为 info的 事 件 给 
 
记 录 下 来 。

kaixa · 发表于 2005-2-1 03:05:37

2. 等 号 (＝ ) 等 号 表 示 只 记 录 目 前 这 一 等 级 ， 其 上 的 等 级 不 要 记 录 。 例 如 刚 刚 的 例 子 ， 平 常 写 下 info等 级 时 ， 也 会 把 位 于 info等 级 上 面 的 notice、 err.warning、 crit、 alert、 emerg等 其 他 等 级 也 记 录 下 来 。 但 若 你 写 =info则 就 只 有 记 录 info 这 一 等 级 了 。 3. 惊 叹 号 (！ ) 惊 叹 号 表 示 不 要 记 录 目 前 这 一 等 级 以 及 其 上 的 等 级 。 　 记 录 到 哪 边 去 一 般 的 syslogd都 提 供 下 列 的 管 道 以 供 您 记 录 系 统 发 生 的 什 么 事 ： 　 1. 一 般 檔 案 这 是 最 普 遍 的 方 式 。 你 可 以 指 定 好 檔 案 路 径 与 檔 案 名 称 ， 但 是 必 须 以 目 录 符 号 「 /」 开 始 ， 系 统 才 会 知 道 这 是 一 个 檔 案 。 例 如 /var/adm/maillog表 示 要 记 录 到 /var/adm下 面 一 个 称 为 maillog的 檔 案 。 如 果 之 前 没 有 这 个 檔 案 ， 系 统 会 自 动 产 生 一 个 。 　 2. 指 定 的 终 端 机 或 其 他 设 备 你 也 可 以 将 系 统 纪 录 写 到 一 个 终 端 机 或 是 设 备 上 。 若 将 系 统 纪 录 写 到 终 端 机 ， 则 目 前 正 在 使 用 该 终 端 机 的 使 用 者 就 会 直 接 在 萤 幕 上 看 到 系 统 讯 息 (例 如 /dev/console或 是 /dev/tty1.你 可 以 拿 一 个 萤 幕 专 门 来 显 示 系 统 讯 息 )。 若 将 系 统 纪 录 写 到 印 表 机 ， 则 你 会 有 一 长 条 印 满 系 统 纪 录 的 纸 (例 如 /dev/lp0)。 　 3. 指 定 的 使 用 者 你 也 可 以 在 这 边 列 出 一 串 使 用 者 名 称 ， 则 这 些 使 用 者 如 果 正 好 上 线 的 话 ， 就 会 在 他 的 终 端 机 上 看 到 系 统 讯 息 (例 如 root， 注 意 写 的 时 候 在 使 用 者 名 称 前 面 不 要 再 加 上 其 他 的 字 )。

kaixa · 发表于 2005-2-1 03:06:39

4. 指 定 的 远 端 主 机 这 种 写 法 不 将 系 统 讯 息 记 录 在 连 接 本 地 机 器 上 ， 而 记 录 在 其 他 主 机 上 。 有 些 情 况 系 统 碰 到 的 是 硬 碟 错 误 ， 或 是 万 一 有 人 把 主 机 推 倒 ， 硬 碟 摔 坏 了 ， 那 你 要 到 哪 边 去 拿 系 统 纪 录 来 看 呢 ？ 而 网 路 卡 只 要 你 不 把 它 折 断 ， 应 该 是 比 硬 碟 机 耐 摔 得 多 了 。 因 此 ， 如 果 你 觉 得 某 些 情 况 下 可 能 纪 录 没 办 法 存 进 硬 碟 里 ， 你 可 以 把 系 统 纪 录 丢 到 其 他 的 主 机 上 。 如 果 你 要 这 样 做 ， 你 可 以 写 下 主 机 名 称 ， 然 后 在 主 机 名 称 前 面 加 上 「 @」 符 号 (例 如 @ccunix1.variox. int， 但 被 你 指 定 的 主 机 上 必 须 要 有 syslogd)。 在 以 上 各 种 纪 录 方 式 中 ， 都 没 有 电 子 邮 件 这 项 。 因 为 电 子 信 件 要 等 收 件 者 去 收 信 才 看 得 到 ， 有 些 情 况 可 能 是 很 紧 急 的 ， 没 办 法 等 你 去 拿 信 来 看 (BSD的 Manual Page写 着 「 when you got mail, it’ s already too late...」 :-P)。 以 上 就 是 syslog各 项 纪 录 程 度 以 及 纪 录 方 式 的 写 法 ， 各 位 读 者 可 以 依 照 自 己 的 需 求 记 录 下 自 己 所 需 要 的 内 容 。 但 是 这 些 纪 录 都 是 一 直 堆 上 去 的 ， 除非您将檔案自行删除掉，否则这些檔案就会越来越大。

kaixa · 发表于 2005-2-1 03:08:38

有 的 人 可 能 会 在 syslogd.conf里 面 写 ： *.* /var/log/everything 要 是 这 样 的 话 ， 当 然 所 有 的 情 况 都 被 你 记 录 下 来 了 。 但 是 如 果 真 的 系 统 出 事 了 ， 你 可 能 要 从 好 几 十 MB 甚 至 几 百 MB 的 文 字 中 找 出 到 底 是 哪 边 出 问 题 ， 这 样 可 能 对 你 一 点 帮 助 都 没 有 。 因 此 ， 以 下 两 点 可 以 帮 助 你 快 速 找 到 重 要 的 纪 录 内 容 ： 　 1. 定 期 检 查 纪 录 养 成 每 周 (或 是 更 短 的 时 间 ， 如 果 你 有 空 的 话 )看 一 次 纪 录 檔 的 习 惯 。 如 果 有 需 要 将 旧 的 纪 录 檔 备 份 ， 可 以 cp log log.1, cp log log.2...或 是 cp log log.971013, cp log log.980101...等 ， 将 过 期 的 纪 录 檔 依 照 流 水 号 或 是 日 期 存 起 来 ， 未 来 考 察 时 也 比 较 容 易 。 　 2. 只 记 录 有 用 的 东 西 千 万 不 要 像 前 面 的 例 子 一 样 ， 记 录 下 *.*然 后 放 在 一 个 檔 案 中 。 这 样 的 结 果 会 导 致 檔 案 太 大 ， 要 找 资 料 时 根 本 无 法 马 上 找 出 来 。

kaixa · 发表于 2005-2-1 03:13:23

餘下就自行下載
因為太煩了，明明百幾就話二千幾字，明明是一千幾字就話三千幾

ekj · 发表于 2005-2-1 21:18:54

............... 服了........一个贴子分这么多次发..............利害利害~

stopasty · 发表于 2005-2-2 01:53:00

分明灌水姐

电梯直达

快捷功能

楼主新帖

[转帖]如何追踪入侵者 :

相关帖子

已有(12)人评论

浏览过的版块

关于

导读

电梯直达

快捷功能

楼主新帖

[转帖]如 何 追 踪 入 侵 者 :

相关帖子

已有(12)人评论

浏览过的版块

关于

导读

[转帖]如何追踪入侵者 :