UNIX/Linux系统取证之信息采集案例 推荐 原创 李晨光 2016-06-18 16:35:11 博主文章分类:日志分析 ©著作权 文章标签 日志分析 网络安全 水印 文章分类 运维 ©著作权归作者所有:来自51CTO博客作者李晨光的原创作品,请联系作者获取转载授权,否则将追究法律责任 UNIX/Linux系统取证之信息采集案例在UNIX/Linux系统取证中,及时收集硬盘的信息至关重要,《Unix/Linux网络日志分析与流量监控》一书中,将详细讨论各种常见系统进程系统调用及镜像文件获取方法。下面简单举几个例子。1.收集正在运行的进程在UNIX/Linux取证时很多系统和网络信息是短时存在的可谓是转瞬即逝,如何准确的捕捉到哪些蛛丝马迹呢?网络安全人员需要具有敏锐的观察力和丰富的经验下面例举几个常用的方法。首先,在收集主机上启动一个监听进程:#nc -l -p 10005 >ps_lsof_log执行完这条命令后回车,系统打开10005端口等待接受,然后在被调查的另一主机上运行相应的ps 调用:#(ps aux; ps-auxeww; lsof)|nc 192.168.150.100 10005 -w 3几秒钟后回到命令行提示符,需要注意的是这两条命令成对出现,发送完数据后开启的端口接收数据接收完毕即关闭端口,如果你第二次没有开启监听端口,继续发送ps数据就会出现连接访问拒绝。#(ps aux;ps auxeww;losf) | nc 192.168.150.109 10005 –w 3(UNKNOWN) [192.168.150.109] 10005 (?) : Conection refused 在上述命令中,有的命令产生长输出结果,有的产生短输出结果,作为收集证据来说,这都要加以利用。那么有哪些命令能够使用的可收集正在运行的进程信息的工具呢?例如: who; uptime; ps(查看进程的内存地址:ps -ealf); top; lsof(查看进程已打开的文件:lsof -p PID); strace(跟踪进程的系统调用和信号:strace -p PID); truss; ltrace(跟踪进程的库调用:ltrace -p PID)等。2.Linux下系统调用查看工具类似篡改系统文件、植入木马或许在控制台上能骗过初级管理员,一旦深入到系统层面木马们都会原形毕露,Strace常用来跟踪进程执行时的系统调用和所接收的信号。 Linux系统,进程不能直接访问硬件设备,当进程需要访问硬件设备(比如读取磁盘文件,接收网络数据等等)时,必须由用户态模式切换至内核态模式,通过系统调用访问硬件设备。所谓系统调用(Systemcall),就是内核提供的、功能十分强大的一系列的函数。这些系统调用是在内核中实现的,再通过一定的方式把系统调用给用户。Strace可以跟踪到一个进程产生的系统调用,包括参数,返回值,执行消耗的时间。Strace在本书的应用见本章的案例研究一。3.UNIX下系统调用查看工具DTrace是Unix平台下的动态跟踪工具,是由 Sun公司开发,可以以对核心(kernel)和应用程序(user application)进行动态跟踪,当然也可以找出系统瓶颈,在甲骨文收购Sun之后这一技术又被移植到了Oracle Linux系统继续发扬光大(更多参考Announcement:Dtrace for Oracle Linux General Availability)。这款工具在Solaris 和Open Solaris平台下都可以使用。4.应用举例①显示当前动态系统中的动态Dtrace探针probe#dtrace -l |more②通常我们查看系统firefox进程的情况使用如下命令#ps -e |grep firefox也可以用Dtrace查看probe探针,操作如下: 何看机器忙闲状态呢,常用vmstat,得知产生2535多系统调用。但是,如何简单查找哪个进程的问题呢?试用建议使用dtrace工具。从最后一行显示看,显然发现firefox-bin是产生大量系统调用的程序, 再看看I/O分布。例如还是firefox进程,输入以下命令。通过以上显示,可观察到大量Firefox产生的I/O在8~64字节间,接着深入看Firefox程序内部情况,输入以下命令。Dtrace功能强大,精度高,而Solaris 10下的老牌系统跟踪工具truss,值得大家注意的是truss工具有时会降低系统25%~30%的CPU利用率。 拓展阅读:Dtrace详细使用文档:http://docs.oracle.com/cd/E19253-01/819-6959/参考:《Dtrace:DynamicTracing in Oracle Solaris,MacOS X and FreeBSD》5.Systrace另一款功能更加强大的系统调用外带报警功能的开源软件systrace就嵌入在OpenBSD系统中,在FreeBSD和Linux也可以自行安装。Systrace工具,可以用来防止木马软件对系统的危害。在这个例子中如下图所示,Systrace检测在fragroute-1.2目录下的一个配置中包含恶意脚本木马。systrace检查木马Systrace工具下载地址: http://www.citi.umich.edu/u/provos/systrace/systrace-1.6f.tar.gz6.收集/proc系统中的信息 Proc一直伴随着Liux kernel, 发展至今在Linux开始主要应用在网络相关方面, 后来为了简化系统管理和调试, 逐渐把它应用到其他方面。现在, proc已经成为Linux 内核中使用最广泛和最成功的特性之一。Proc在内存中建立虚拟的文件节点, 用户可以直接使用文件系统中的标准系统调用去访问proc 下的信息, 当用户发出访问/proc下的“文件”请求时, 再由系统动态生成。所以Proc就是一个虚拟的文件系统,通过文件系统的接口实现,当系统重启或电源关闭时这个文件系统的数据将消失。/proc还为/dev/kmem 提供一个结构化的接口,便于系统诊断并查看每一个正在运行的可执行文件的环境。内存中的每个进程在/proc 中都有一个目录,按它的进程ID 来命名。如果在上面列出的ps 的输出中看不见的进程出现在/proc 中,这就可能是ps 已被特洛伊化了(被篡改并加了危险程序),所以我们要熟悉Proc,以便应对攻击者对proc下的文件做手脚。trace:DynamicTracing in Oracle Solaris,MacOS X and FreeBSD》下面通过nc命令,如何通过网络收集proc进程的方法,为了收集 Proc进程 ,使用下面用2条命令:#nc -l –p 10006>proc_log#ls -d/proc[1-9] * | nc 192.168.0.2 10006 -w 3下期案例预报,对于这个nc命令,在网络取证中能起到关键作用,在下面这起网络安全事件分析在nc就起到了关键作用。51CTO学院优秀讲师评选中,我期待您的宝贵一票!投票地址:http://edu.51cto.com/index.php?do=activityvote&m=voteRanking&cid=47#t 赞 收藏 评论 分享 举报 上一篇:最新OSSIM中国行之国电宣讲幻灯片(共116页) 下一篇:运维常见统计表模板(word版) 提问和评论都可以,用心的回复会被更多人看到 评论 发布评论 全部评论 () 最热 最新 相关文章 在Linux系统中如何查看硬盘信息? 使用Linux系统的过程中,查看和了解硬盘信息是非常重要的工作,尤其是对于系统管理员而言,那么在Linux系统中如何查看硬盘信息?以下是具体内容介绍。 1、使用lsblk命令查看块设备信息 lsblk是一个用于列出块设备信息的命令,可以显示系统中所有的块设备、挂载点以及相关的信息。 lsblk 运行上面的命令,将会列出系统中所有的块设备信息,包括设备名称、大小、类型、挂载点等。 2、 块设备 设备名 硬盘分区 Linux||Linux操作之Linux系统目录结构(Ubuntu 16.04) Linux系统目录结构【实验目的】1.了解Linux 标准目录结构2.学会如何在终端模拟器中操作目录【实验原理】在LINUX系统中有一个重要的概念:一切都是文件。 其实这是UNIX哲学的一个体现,而Linux是重写UNIX而来,所以这个概念也就传承了下来。在UNIX系统中,把一切资源都看作是文件,包括硬件设备。UNIX系统把每个硬件都看成是一个文件,通常称为设备文件,这样用户就可以用读写文件的方式 文件系统 UNIX 目录结构 Linux Ubuntu Linux 系统之部署 ZFile 在线网盘服务 ZFile 是一款基于 Java 的在线网盘程序,支持对接 S3、OneDrive、SharePoint、又拍云、本地存储、FTP 等存储源,支持在线浏览图片、播放音视频,文本文件等文件类型。 Linux 运维 UNIX/Linux系统取证案例分析 在UNIX/Linux系统取证中,及时收集硬盘的信息至关重要,《Unix/Linux网络日志分析与流量监控》一书中,将详细讨论各种常见系统进程系统调用及镜像文件获取方法。下面简单举几个例子。1.收集正在运行的进程在UNIX/Linux取证时很多系统和网络信息是短时存在的可谓是转瞬即逝,如何准确的捕捉到哪些蛛丝马迹呢?网络安全人员需要具有敏锐的观察力和丰富的经验下面例举几个常用的方法。首先,在收集主 java Unix toolbox注解1之Linux系统硬件信息 Unix toolbox注解1之Linux系统硬件信息Unix toolbox注解2之Linux系统状态用户和限制本系列文章为笔者对Unix toolbox的一些个人注解,加入个人的一些元素,删减了其中一些对于freebsd的一些命令介绍,文中的内容笔者都一一验证过,放心使用。 系统正在运行的内核和系统信息:# uname -a &nbs 命令 硬件 Linux 十全十美 linux系统unix Linux系统是一种自由和开放源代码的操作系统,它是基于UNIX的操作系统。在Linux系统中,有一款非常著名的软件——红帽。红帽公司是一家领先的企业级开源解决方案提供商,其主要产品是Red Hat Enterprise Linux(RHEL),这是在企业级环境中广泛使用的一种Linux发行版。作为一个基于UNIX的操作系统,Linux系统拥有跨平台的优势,可以在各种不同的硬件平台上运行,从个 x系统 企业级 解决方案 linux取证 Linux取证是法律领域中的重要工作之一,它指的是利用Linux系统中的各种工具和技术来获取和分析数字证据,从而为案件的调查和审理提供支持。其中,红帽(Red Hat)作为一家知名的Linux发行版供应商,其在取证工作中也扮演着重要的角色。红帽的Linux系统具有很高的安全性和稳定性,这就为取证工作提供了良好的基础。在实际操作中,取证人员可以通过红帽系统中的各种命令和工具来获取目标主机的文件、 x系统 发行版 Red Unix_Linux系统定时器的应用(案例) 2014-05-05 Created By BaoXinjian一、摘要关于任务定时的命令crontab,在Linux中应用还算常见,这次为了配合开发完成一些辅助功能,以及一些备份更新等脚本,就需要crontab来完成,在windows下也就是一个批处理,linux只是多了一些命令而已。先来看看crontab的介绍:crontab命令常见于Unix和类Unix的操作系统之中,用 Unix oracle linux 守护进程 python 采集 linux 信息 # Python采集Linux信息教程## 目标本教程旨在教会刚入行的开发者如何使用Python采集Linux信息。## 整体流程以下是整个流程的步骤概述:```mermaidflowchart TD A[准备工作] B[连接到Linux服务器] C[执行命令获取信息] D[解析和处理信息] E[保存和展示信息]```## 详细步骤 Python python 服务器 linux信息采集 osBit Linux是一种开源的操作系统,拥有着广泛的用户群体和应用范围。在Linux系统中,红帽(Red Hat)作为一家知名的软件开发公司,其产品和服务被广泛应用于企业级服务器和云计算环境中。在Linux系统中,使用红帽公司的产品进行信息采集和管理是非常重要且常见的操作。信息采集是指通过各种手段搜集和记录数据,用于了解和分析系统运行的状态以及用户的行为。在Linux系统中,信息采集可以通过各种方式进 信息采集 x系统 数据导出 Linux/Unix命令之Ethtool Linux/Unix命令之Ethtool描述:Ethtool是用于查询及设置网卡参数的命令。概要:ethtool ethX //查询ethX网口基本设置ethtool –h //显示ethtool的命令帮助(help)ethtool –i et linux 职场 unix 休闲 Ethtool 采集系统信息 (1) 打印当前系统的主机名$ hostname 或者 $uname -n(2) 打印Linux内核版本。硬件架构等详细信息$uname -a(3) 打印内核发行版本$uname -r(4) 打印主机类型$uname -m(5) 打印cup信息$cat /proc/cpuinfo 获取处理器名称: cat Linux 处理器 详细信息 unix系统和linux系统 Unix系统和Linux系统是两种常见的操作系统,它们之间有许多共同点和区别。红帽公司是一家知名的开源软件公司,其旗下的Red Hat Enterprise Linux(RHEL)操作系统是基于Linux内核的商业发行版。在本文中,我们将探讨Unix系统和Linux系统的区别,以及红帽公司在Linux领域的贡献。首先,让我们来看看Unix系统和Linux系统的共同点。Unix系统是一个类Uni x系统 Red 商业 unix linux 系统管... Unix和Linux系统管Unix和Linux系统是目前广泛应用于互联网服务器和个人电脑上的操作系统。它们采用了分层结构的设计,为用户提供了高度可定制性和良好的扩展性,使得系统管理变得简单而有效。在Unix和Linux系统中,系统管理员可以利用许多工具和技术来管理和维护系统的稳定性和安全性。一个关键的系统管理员工具是Shell。Shell是一个命令解释器,它可以解释用户输入的命令并将其传递给 系统管理员 x系统 Shell 职称信息采集系统 职称信息采集系统:软考应用与实践随着信息技术的飞速发展,职称信息采集系统已经成为了各行各业中不可或缺的一部分。在软考领域,职称信息采集系统的应用与实践对于提高考试效率、保障公平公正、提升职称评审质量等方面具有重要意义。本文将探讨职称信息采集系统在软考中的应用与实践。一、职称信息采集系统简介职称信息采集系统是一款基于计算机网络技术的人事管理软件,主要用于采集、整理、分析和存储职称评审过程 信息采集 统计分析 数据 linux系统和unix系统 Linux系统和Unix系统一直都是计算机领域中备受推崇的操作系统。它们的出现不仅给用户带来了更加稳定、高效的工作环境,也为计算机技术的发展提供了强大的支持。在这两个操作系统中,红帽也占据着一个重要的位置。红帽公司是一家专注于开源软件开发的公司,其最知名的产品就是基于Linux内核开发的Red Hat Enterprise Linux操作系统。Linux系统是一种基于Unix的操作系统,其内核 x系统 Red Enterprise linux系统取证 1、查看系统信息 [root@server02 ~]# uname -a #查看内核Linux server02 3.10.0-957.el7.x86_64 #1 SMP Thu Nov 8 23:39:32 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux[root@server02 ~]# cat /etc/redhat-release #查 linux系统取证 Linux系统取证简述 一、电子数据取: 1、什么是取证 电子取证学:为打击网络犯罪而生的电子数据取证,是计算机学科与法学学科交叉的一门学科,涉及到的知识包括计算机软硬件知识体系、网络技术、密码学、通信技术以及法学知识等。 常规取证:有调查取证权的组织或者个人为了查明案件事实的需要,向有关单位或个人依法进行调查和收集证据。 ... 网络靶场 网络安全 CTF 数据 日志文件 python 采集图片案例 python采集信息 网络爬虫就像小蜜蜂,它飞到花(目标网页)上,采集花粉(需要的信息),经过处理(数据清洗、存储)变成蜂蜜(可用的数据) 有时候API能够满足我们的需求,但是很多时候你需要的 API 并不存在,即使 API 已经存在,可能还会有请求内容和次数限制,API 能够提供的数据类型或者数据格式可能也无法满足你的需求,这时网络数据采集就派上用场了. 1.网络爬虫初见浏览器获取信息的过程:Bo python 采集图片案例 读书笔记 爬虫 html ide 时间戳 Unix java 时间戳取证 电子数据取证第六章读书笔记 1.数字时间取证 保存在硬盘中或文件夹中的时间格式为时间戳的格式 注意:(1)取证设备中操作系统的时间要与标注时间同步 (2)取证工具的时间设置与被取证目标操作系统的时间偏移量保持相对一致不同操作下文件时间的更新特点:操作创建时间修改时间访问时间重命名不变不变不变文件夹内文件变化不变更新更新卷内移动不变不变不变跨卷移动更新不变更新复制文件更新(如果覆盖同文件名文件则不更 时间戳 Unix java 其他 修改时间 时间格式 文件系统