如何追踪系统入侵者

《如何追踪系统入侵者》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、如何追踪系统入侵者～教育资源库　　在局域网络上可能你听过所谓广播模式的资料发送方法，此种方法不指定收信站，只要和此网络连结的所有网络设备皆为收信对象。但是这仅仅在局域网络上能够实行,因为局域网络上的机器不多(和Inter比起来)。如果象是Inter上有数千万的主机,本就不可能实施资料广播(至于IPMulticast算是一种限定式广播RestrictedBroadcast,唯有被指定的机器会收到,Inter上其他电脑还是不会收到)。假设Inter上可以实施非限定广播，那随便一个人发出广播讯息，全世界的电脑皆受其影响，岂不世界大乱？因此,任何局域网络内的路由器或是类似网络设备都不会

2、将自己区域网络内的广播讯息转送出去。万一在on:syslogd，应该有很多朋友都知道在UNIX系统的/var/adm下面有两个系统纪录档案：　　syslog与messages，一个是一般系统的纪录，一个是核心的纪录。但是这两个档案是从哪边来的，又要如何设定呢？　　系统的纪录基本上都是由syslogd(SystemKernelLogDaemon)来产生，而syslogd的控制是由/etc/syslog.conf来做的。syslog.conf以两个栏位来决定要记录哪些东西，以及记录到哪边去。下面是一个Linux系统所附上的yslog.conf档案，这也是一个最标准的syslog.c

3、onf写法：　　格式就是这样子，第一栏写「在什么情况下」以及「什么程度」。然后用TAB键跳下一栏继续写「符合条件以后要做什么」。这个syslog.conf档案的很诚实，告诉你只能用TAB来作各栏位之间的分隔(虽然看来好像他也不知道为什么)。第一栏包含了何种情况与程度，中间小数点分隔。另外，星号就代表了某一细项中的所有选项。详细的设定方式如下：　　1.在什么情况：各种不同的情况以下面的字串来决定。　　auth关于系统安全与使用者认证方面　　cron关于系统自动排程执行(CronTable)方面　　daemon关于背景执行程式方面　　kern关于系统核心方面　　lpr关于印表机方面

4、　　mail关于电子邮件方面　　neerg已经非常严重了　　同样地，各种UNIX系统可能会有不同的程度表示方式。有些系统是不另外区分crit与alert的差别，也有的系统会有更多种类的程度变化。在记录时，syslogd会自动将你所设定程度以及其上的都一并记录下来。例如你要系统去记录info等级的事件，则notice、err.erg等在info等级以上的也会一并被记录下来。把上面所写的1、2项以小数点组合起来就是完整的「要记录哪些东西」的写法。　　例如mail.info表示关于电子邮件传送系统的一般性讯息。auth.emerg就是关于系统安全方面相当严重的讯息。lpr.none表

5、示不要记录关于列表机的讯息(通常用在有多个纪录条件时组合使用)。另外有三种特殊的符号可供应用：　　1.星号(*)星号代表某一细项中所有项目。例如mail.*表示只要有关mail的，不管什么程度都要记录下来。而*.info会把所有程度为info的事件给记录下来。　　2.等号(＝)等号表示只记录目前这一等级，其上的等级不要记录。例如刚刚的例子，平常写下info等级时，也会把位于info等级上面的notice、err.erg等其他等级也记录下来。但若你写=info则就只有记录info这一等级了。1234下一页友情提醒：，特别！　　3.惊叹号(！)惊叹号表示不要记录目前这一等级以及其上

6、的等级。　　记录到哪边去?　　一般的syslogd都提供下列的管道以供您记录系统发生的什么事：　　1.一般档案　　这是最普遍的方式。你可以指定好档案路径与档案名称，但是必须以目录符号「/」开始，系统才会知道这是一个档案。例如/var/adm/maillog表示要记录到/var/adm下面一个称为maillog的档案。如果之前没有这个档案，系统会自动产生一个。　　2.指定的终端机或其他设备　　你也可以将系统纪录写到一个终端机或是设备上。若将系统纪录写到终端机，则目前正在使用该终端机的使用者就会直接在萤幕上看到系统讯息(例如/dev/console或是/dev/tty1.你可以拿一

7、个萤幕专门来显示系统讯息)。若将系统纪录写到印表机，则你会有一长条印满系统纪录的纸(例如/dev/lp0)。　　3.指定的使用者　　你也可以在这边列出一串使用者名称，则这些使用者如果正好上线的话，就会在他的终端机上看到系统讯息(例如root，注意写的时候在使用者名称前面不要再加上其他的字)。　　4.指定的远端主机　　这种写法不将系统讯息记录在连接本地机器上，而记录在其他主机上。有些情况系统碰到的是硬碟错误，或是万一有人把主机推倒，硬碟摔坏了，那你要到哪边去拿系统纪录来看呢？而网络卡只要你不把