Unix的入侵追踪(2) 5.http服务器日志 这很有可能是确定入侵者的真实攻击发源地的最有效方法。以最流行的apache服务器为例，在${prefix}/logs/ 目录下你可以发现Access.log这个文件，该文件记载了访问者的IP,访问的时间和请求访问的内容。在遭受入侵后，我们应该可以在该文件中发现类似下面的:record:xxx.xxx.xxx.xxx - - [28/Apr/2000:00:29:05 -0800] "GET/cgi-bin/rguest.exe"404 -xxx.xxx.xxx.xxx - - [28/Apr/2000:00:28:57 -0800] "GET /msads/Samples/SELECTOR/showcode.ASP" 404 -来自IP为xxx.xxx.xxx.xxx的某人在2000年4月28号的0点28分试图访问/msads/Samples/SELECTOR/showcode.asp文件，这是在使用web cgi扫描器后遗留下的日志。大部分的web扫描器都是基于MS操作系统的，而为了更快的速度，使用基于*nix的扫描器的入侵者常选择离自己最近的服务器。结合攻击时间和IP，我们可以知道入侵者的大量信息。 6.核心dump 这是一种相对较复杂的方法，但是也有效 。一个安全稳定的守护进程在正常运行的时候是不会dump出系统的核心，当入侵者利用远程漏洞攻击时，许多服务正在执行一个getpeername的socket 函数调用(参见socket编程)，因此入侵者的IP也保存在内存中，此时服务overflow ,系统p 内存页文件被dump到core文件,这意味着你可能在一大段杂乱无章的字符中（事实上是一个全局数据库中的进程变量）找到一个包含有执行此eXPoloit的IP。BTW: 这段是参考了http://members.tripod.com/mixtersecurity/paper.html后写出的，我做了一个cmsd的远程攻击测试，但只在中间找到了入侵者远程overflow的部分命令，没有找到IP。不过这仍有理由相信Mixter(paper.html的作者)的话。 7.代理服务器日志 代理是大中型企业网常使用来做为内外信息交换的一个接口，它忠实地记录着每一个用户所访问的内容，当然，也包括入侵者的访问内容。以最常用的squid代理为例，通常你可以在/usr/local/squid/logs/下找到access.log 这个庞大的日志文件，当然，由于日志记录添加得很快，在安全事故后应该及时备份它。你可以在以下地址获得squid的日志分析脚本:http://www.squid-cache.org/Doc/Users-Guide/added/stats.html通过对敏感文件访问日志的分析，可以知道何人在何时访问了这些本该保密的内容。 8.路由器日志 默认方式下路由器不会记录任何扫描和登录，因此入侵者常用它做跳板来进行攻击。如果你的企业网被划分为军事区和非军事区的话，添加路由器的日志记录将有助于日后追踪入侵者。更重要的是，对于管理员来说，这样的设置能确定攻击者到底是内贼还是外盗。当然，你需要额外的一台服务器来放置router.log文件。 在CISCO路由器上: router(config)# logging faclity syslog router(config)# logging trap informational router(config)# logging [服务器名] 在log server上：
