百度360必应搜狗淘宝本站头条
tomcat 乱码无法与服务器建立安全连接是什么意思sysv-rc-confdocker映射容器目录到宿主机internet explorer 增强的安全配置已启用
当前位置：网站首页 > 技术文章 > 正文

Linux 系统日志-secure，btmp，wtmp文件详解

nanshan 2024-10-21 06:13 33 浏览 0 评论

1. 介绍

Linux系统提供了全方位的日志记录。我们登录Linux系统之后做的事情Linux都有相应的日志记录。整个日志系统比较多。这里只介绍和登录比较密切相关的三个日志。

secure，btmp和wtmp这三个日志文件。

2. wtmp日志

首先，介绍wtmp日志文件，该文件记录了所有的登录过系统的用户信息。（PS：只记录了正确登录的用户。密码错误等在btmp文件和secure文件中）

该文件的地址路径为：var/log/wtmp 。wtmp文件是一个二进制文件，无法通过cat或者vim 进行阅读。需要通过命令last进行阅读。

示例如下：

[root@iZuf /]# last -F
root     pts/0        我的IP地址   Wed Nov 23 08:43:28 2022   still logged in
...
root     pts/0        我的IP地址   Wed Oct 19 16:00:28 2022 - Wed Oct 19 18:16:46 2022  (02:16)
root     pts/0        我的IP地址   Wed Oct 19 09:51:51 2022 - Wed Oct 19 10:42:08 2022  (00:50)
...

last 命名会默认从wtmp文件中读取数据。所以我们可以不用添加wtmp文件路径，但是如果使用 last -f 就需要我们主动添加wtmp路径了。

上面的数据分别是：

  • 登录名：root。
  • 打开的终端：pts/0
  • 访问者IP：我的ip地址（PS：实际ip 是显示 111,111,111,111格式的）
  • 登录时间：Tue Nov 15 11:17:40 2022
  • 退出时间：Tue Nov 15 13:14:02 2022
  • 耗时：(01:56) 如果显示still logged in。表示当前仍然属于登录状态。

如果我们觉得日期显示阅读不直观，可以通过命令last --time-format 进行日期格式化。示例如下：

[root@iZuf /]# last --time-format iso
...
root     pts/0        我的IP地址     2020-08-07T17:05:19+08:00 - 2020-08-07T17:06:39+08:00  (00:01)

时间将会变成我们能够直接阅读的格式。（PS：+08:00 只是说明当前日期进行了时区添加，并不代表我们还需要在显示的时间中添加8小时哦）

--time-format 后面的可选参数为：

  • notime： 不显示时间。示例：(13:34)。只显示登录时长。不显示时间段
  • short：短时间显示。示例：Fri Nov 4 17:53 - 18:03 (00:09)
  • full：按照默认格式显示全部时间。示例：Tue Nov 22 13:48:22 2022 - Tue Nov 22 17:23:19 2022 (03:34)
  • iso：按照iso时间格式显示全部时间。示例：2020-08-07T17:05:19+08:00 - 2020-08-07T17:06:39+08:00 (00:01)

这个文件将会记录全部的登录记录。如果中间出现了不属于我们熟悉的ip登录。那么说明账户密码有泄漏。或者其他非法登录产生。

PS：-F 命令不能和--time-format 一起使用，因为它们两者都对输出的时间格式有影响。

3. btmp 日志

如果说wtmp是记录登录成功的日志。那么btmp就是记录所有尝试登录，但是登录失败的日志。它存储的路径和wtmp文件在同一目录下：/var/log/btmp

同样btmp也是属于二进制文件。无法通过cat或者vim 进行阅读。需要通过命令lastb进行阅读。

last： 阅读的wtmp文件

lastb：阅读的btmp文件

这两个指令是有一个字母的区别。千万不要弄混了

这两个命令的 参数可以说是完全一样。可以用于last的也可以用于lastb。

lastb的命令参数如下：

  • -<number> ：要显示多少行
  • -a, --hostlast ：在最后一列中显示主机名
  • -d, --dns ：将IP地址转换回主机名
  • -f <file> ：使用特定文件而不是/var/log/btmp
  • -F, --fulltimes ：打印完整的登录和注销时间和日期
  • -i, --ip ：以数字和点表示法显示IP号码
  • -n, --limit <number> ：要显示多少行
  • -R, --nohostname ：不显示主机名字段
  • -s, --since <time> ：显示指定时间之后的行 （查询指定时间之后的记录）
  • -t, --until <time> ：显示指定时间之前的行 （查询指定时间之前的记录）
  • -p, --present <time> ：显示在指定时间内在场的账户
  • -w, --fullnames ：显示完整的用户名和域名
  • -x, --system ：显示系统关闭条目和运行级别更改
  • --time-format <format> ：显示指定格式的时间戳 <format>: notime|short|full|iso

PS：-F 命令不能和--time-format 一起使用，因为它们两者都对输出的时间格式有影响。

具体使用示例：（PS：由于内容比较多，就先显示10条记录了）

[root@iZuf /]# lastb -10
liu      ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
sine     ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
ftpUser  ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
sine     ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
liu      ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
chenms   ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
mingjian ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
liu      ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
sine     ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
ftpUser  ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)

格式表现为：

第一列显示登录名，第二列显示登录ssh方式很明显 ssh:notty是在使用暴力破解ssh密码。（这也是为什么Linux建议一段时间内跟换密码的原因，当然使用秘钥的安全性要比密码高不少。），第三列显示的就是访问者IP地址了。 之后的就是时间和耗费时长了。

示例,将时间戳进行序列化后显示如下：

[root@iZuf /]# lastb -10 --time-format iso
liu      ssh:notty    170.64.132.128   2022-11-23T07:40:24+08:00 - 2022-11-23T07:40:24+08:00  (00:00)
sine     ssh:notty    170.64.132.128   2022-11-23T07:40:24+08:00 - 2022-11-23T07:40:24+08:00  (00:00)
ftpUser  ssh:notty    170.64.132.128   2022-11-23T07:40:23+08:00 - 2022-11-23T07:40:23+08:00  (00:00)
sine     ssh:notty    170.64.132.128   2022-11-23T07:40:23+08:00 - 2022-11-23T07:40:23+08:00  (00:00)
liu      ssh:notty    170.64.132.128   2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00  (00:00)
chenms   ssh:notty    170.64.132.128   2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00  (00:00)
mingjian ssh:notty    170.64.132.128   2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00  (00:00)
liu      ssh:notty    170.64.132.128   2022-11-23T07:40:21+08:00 - 2022-11-23T07:40:21+08:00  (00:00)
sine     ssh:notty    170.64.132.128   2022-11-23T07:40:21+08:00 - 2022-11-23T07:40:21+08:00  (00:00)
ftpUser  ssh:notty    170.64.132.128   2022-11-23T07:40:21+08:00 - 2022-11-23T07:40:21+08:00  (00:00)

3.1 日志时长

btmp日志由于内容过多。它会按30天进行备份一次数据。只会备份一个月的数据。

备份文件和btmp文件存储在同一目录下，只是命名后面追加上备份创建日期而已。示例：

小技巧：在Linux系统中填写路径时按Tab将会补全，如果无法补全说明有多个候选项，我们双击Tab将会列出全部候选项。

[root@iZuf /]# ls var/log/btmp
btmp           btmp-20221101

例如上面的结果，我们如果要看btmp-20221101 里面的数据，就需要使用：lastb -f /var/log/btmp-20221101

示例如下，查询上个月的非法登录的前10条记录：

[root@iZuf /]# lastb -f /var/log/btmp-20221101 -10
sine     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
liu      ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
sine     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
sine     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
wjquan   ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
liu      ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
zkkj     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
chenms   ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
mingjian ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
mingjian ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)

如果非法登录的数据文件比较大，我们怎么进行查询呢？Linux可以针对数据进行筛选

3.2 统计ip登录次数

恶意访问数据过多的时候，我们通过lastb直接阅读比较困难因为数据较大。这个时候我们就可以通过对查询结果进行筛选。

例如：

[root@iZuf /]# lastb | awk '{ print $3}' | sort | uniq -c | sort -n
      5 98.143.158.42
   5368 143.244.137.83
   5402 170.64.132.120
   5522 170.64.132.128
   6212 193.47.61.21

上述显示结果，第一列ip地址的登录次数，第二列为ip地址。我们可以对登录过大的ip进行封禁操作。

下面进行命令拆分介绍。在Linux中通过|符号对命令进行拆分。

上述的命令其实就是：

  • lastb ： 通过lastb命令会拉取全部的非法登录日志
  • awk '{print $3}' ：截取lastb输出的数据中的第三列也就是ip地址。
  • sort ：将ip地址进行分类
  • uniq -c ：将分类好的ip数据进行去重并计数
  • sort -n ： 将分类去重并计数的数据，进行分类并且按照数值进行从小到大排序。

例如我们如果要查上一个月的非法登录次数统计：

[root@iZuf /]# lastb -f /var/log/btmp-20221101 | awk '{ print $3}' | sort | uniq -c | sort -n
     51 157.230.21.85
   4861 167.71.234.209
   5038 143.244.141.68
   5202 143.244.129.121
   5262 167.71.226.83

PS: 如果想高效控制和防范，那么使用防火墙可以说是最佳选择了。可以使用阿里云提供的云防火墙，包括结合情报的实时入侵防护、全流量可视化分析、智能化访问控制、日志溯源分析等能力。

https://www.aliyun.com/product/cfw?source=5176.11533457&userCode=w5jkvc5z

4. secure 日志

相较于wtmp文件和btmp文件，secure日志就是一个文本。可以通过vim或者cat阅读。也可以导出到windows环境下使用VSCode或者文本文档等阅读。

secure日志和wtmp和btmp文件一样，存储在var/log目录下。示例如下：

[root@iZuf /]# ls /var/log/secure
secure           secure-20221030  secure-20221106  secure-20221113  secure-20221120

secure文件是按照每7天备份一次的频率，进行备份的。文档打开后的内容如下所示：

Nov 20 09:25:19 iZuf sshd[2322424]: error: kex_exchange_identification: banner line contains invalid characters
Nov 20 12:55:16 iZuf sshd[2323018]: error: kex_exchange_identification: Connection closed by remote host
Nov 20 12:58:27 iZuf sshd[2323024]: Invalid user amax from 170.64.132.120 port 47146
Nov 20 12:58:28 iZuf sshd[2323026]: Invalid user amax from 170.64.132.120 port 47158
Nov 20 12:58:28 iZuf sshd[2323024]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:28 iZuf sshd[2323024]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:28 iZuf sshd[2323026]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:28 iZuf sshd[2323026]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:28 iZuf sshd[2323028]: Invalid user amax from 170.64.132.120 port 47164
Nov 20 12:58:28 iZuf sshd[2323030]: Invalid user amax from 170.64.132.120 port 47178
Nov 20 12:58:28 iZuf sshd[2323028]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:28 iZuf sshd[2323028]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:28 iZuf sshd[2323032]: Invalid user amax from 170.64.132.120 port 47188
Nov 20 12:58:29 iZuf sshd[2323030]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:29 iZuf sshd[2323030]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:29 iZuf sshd[2323032]: pam_unix(sshd:auth): check pass; user unknown

相较于wtmp和btmp一个记录成功的，一个记录失败的。secure日志记录整个登录过程的所有数据，不管成功还是失败都会进行记录。

PS：由于secure日志属于文档类型的，那么登录成功后的非法登录它是可以比较方便的对secure文件进行篡改的。

下面简单列一些出现的各种错误和成功日志：

  1. 访问成功后的日志：Accepted password for root from 我的真实IP port 端口号 ssh2
  2. 指令与端口不匹配: 修改了默认的SSH端口（22） 改为其他端口了。攻击者访问该端口时，命令和端口服务不匹配就会出现下面的错误日志记录。
  3. error: kex_exchange_identification: banner line contains invalid characters
  4. ip地址为170.64.132.120 的主机尝试破解sshd登录：它使用了新的账户和密码进行验证
  5. pam_unix(sshd:auth): check pass; user unknown
    pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
  6. 提示来自于170.64.132.120 主机的端口 47146的请求，用户名无效。不允许操作：Invalid user amax from 170.64.132.120 port 47146
  7. 为正确用户开启root会话，也就是远程登录的命令输入界面：pam_unix(sshd:session): session opened for user root by (uid=0)
  8. 为用户关闭root会话 也就是命令行输入界面：pam_unix(sshd:session): session closed for user root
  9. 来自用户名jason的登录，密码和用户验证失败：Failed password for invalid user jason from 170.64.132.128 port 59676 ssh2

等等还有很多的命令日志。

只要我们的服务器开启了SSH，那么这种攻击就会再所难免。我们需要

  1. 修改默认的ssh的端口22改为其他的端口，可以提高安全性。
  2. root密码设置比较复杂的密码，并且保持更新。
  3. 使用秘钥验证比密码验证安全性更高。
  4. 使用防火墙屏蔽大量访问的ip.
  5. 使用脚本，对攻击访问进行自动拉黑添加到屏蔽访问的文件中。

5. 总结

只要将我们的服务器在公网环境公开，提供服务。就避免不了来自全球互联网上的各种攻击。大部分的攻击都是一些泛攻击，利用程序自动扫描并发起攻击而已。

更多的针对的都是一些弱密码例如123456，admin等的自动攻击脚本。

我们只需要给自己的服务器创建复杂程度高的密码，并保持一段时间的密码跟换。同时如果必须使用SSH登录就将默认端口22更换为其他端口。跟换端口可以参考文章：Linux 更换SSH默认22端口，禁用ping 指令，提高安全性

然后一段时间后，针对大量重复的ip地址进行封禁就可以了。



相关推荐

详解 HTTPS、TLS、SSL、HTTP区别和关系

一、什么是HTTPS、TLS、SSLHTTPS，也称作HTTPoverTLS。TLS的前身是SSL，TLS1.0通常被标示为SSL3.1，TLS1.1为SSL3.2，TLS1.2为SSL...

锐安信SSL证书自动化运维系统:灵活管理SSL/TLS证书全生命周期

点击上方关注“锐成云分销”，云建站解决方案专家！域名、SSL证书、DNS、主机一站选齐在SSL/TLS证书的生命周期管理中，证书的各种操作方式是基础且核心的部分之一，更是保障用户数据传输加密的关键。这...

宝塔免费的 SSL/TLS 证书如何续签

申请之前，请确保域名已解析，如未解析会导致审核失败(包括根域名)宝塔SSL申请的是免费版TrustAsiaDVSSLCA-G5证书，仅支持单个域名申请有效期1年，不支持续签，到期后需要重新申...

HTTPS、HTTP、TLS/SSL工作及握手原理、PKI/CA密钥体系

一、HTTPS与HTTP介绍二、TLS/SSL工作原理三、TSL/SSL握手过程四、HTTPS性能优化五、PKI体系一、HTTPS与HTTP介绍1.Https（SecureHypetextTran...

什么是SSL证书卸载 SSL证书卸载有什么作用

SSL证书是数字证书的一种，安装部署的话可以对网站起到身份验证和数据加密的作用。网站部署SSL证书，相对就必然会有SSL证书卸载，那么SSL证书卸载是什么呢？SSL证书卸载有什么作用？随着SSL通信量...

让SSL/TLS协议流行起来:深度解读SSL/TLS实现1

一前言SSL/TLS协议是网络安全通信的重要基石，本系列将简单介绍SSL/TLS协议，主要关注SSL/TLS协议的安全性，特别是SSL规范的正确实现。本系列的文章大体分为3个部分：SSL/TLS协...

苹果、谷歌、微软等一致同意!SSL/TLS证书最长有效期锐减至47天

快科技4月14日消息，苹果此前向CA/B论坛（负责管理SSL/TLS证书的行业组织）提议，将所有证书有效期缩短至45天。日前CA/B论坛服务器证书工作组投票通过SC-081v3提案，最终决定将SSL/...

Android怎么设置端口转发，将访问本设备的端口转到另外一台设备

一、Android系统怎么设置端口转发，将访问本设备的端口转到另外一台设备？要设置端口转发，您需要先在Android设备上安装一个支持端口转发的应用程序。其中一个常用的应用是"Termux&#...

大神级产品:手机装 Linux 运行 Docker 如此简单

本内容来源于@什么值得买APP，观点仅代表作者本人｜作者：灵昱Termux作为一个强大的Android终端模拟器，能够运行多种Linux环境。然而，直接在Termux上运行Docker并不可行，需要...

关于H3C交换机的SSH功能配置方法（华三交换机ssh配置）

对于交换机的初步学习，作为初学者的我，还望诸位不吝赐教。若存在不足之处，烦请大家多提宝贵意见。同样身为初学者的我们，亦可携手共进，相互分享技术经验。一、本地用户配置（核心步骤）1.创建用户并设置密码...

Linux常用操作ssh（linux中的ssh命令）

ssh#p是小写ssh-p22user@hostsftp#连接sftp-P22root@host#将文件上传到服务器上：put[本地文件的地址][服务器上文件存储的位置]#将...

小白心得，如何使用SSH连接飞牛系统(fnos)?

一、背景作为一个刚接触飞牛系统的小白，在研究飞牛os的时候，发现很多功能都需要连接ssh，但是如何使用SSH连接飞牛系统成为入门飞牛os的一道坎。下面以自己的学习经历详细记录下过程吧。二、系统设置1、...

如何在 Windows 11 或 10 上使用 Winget 安装 OpenSSH

SSH（SecureShell）是大多数开发人员和系统管理员用来通过Linux远程连接托管服务器或任何云服务的工具，因为SSH在Linux中是内置的。然而，对于Windows呢？是的...

linux文件之ssh配置文件的含义与作用

ssh远程登录命令是操作系统(包括linux和window系统)下常用的操作命令，可以帮助用户，远程登录服务器系统，查看，操作系统相关信息。linux系统对于ssh命令有专门保存其相关配置的目录和文件...

害怕Linux SSH不安全?这几个小妙招安排上!

ssh是访问远程服务器最常用的方法之一，同时，其也是Linux服务器受到攻击的最常见的原因之一。不过别误会...我们并不是说ssh有什么安全漏洞，相反，它在设计上是一个非常安全的协议。但是安...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表