百度360必应搜狗淘宝本站头条
tomcat 乱码无法与服务器建立安全连接是什么意思sysv-rc-confdocker映射容器目录到宿主机internet explorer 增强的安全配置已启用
当前位置：网站首页 > 技术文章 > 正文

Linux 系统日志-secure，btmp，wtmp文件详解

nanshan 2024-10-21 06:13 34 浏览 0 评论

1. 介绍

Linux系统提供了全方位的日志记录。我们登录Linux系统之后做的事情Linux都有相应的日志记录。整个日志系统比较多。这里只介绍和登录比较密切相关的三个日志。

secure，btmp和wtmp这三个日志文件。

2. wtmp日志

首先，介绍wtmp日志文件，该文件记录了所有的登录过系统的用户信息。（PS：只记录了正确登录的用户。密码错误等在btmp文件和secure文件中）

该文件的地址路径为：var/log/wtmp 。wtmp文件是一个二进制文件，无法通过cat或者vim 进行阅读。需要通过命令last进行阅读。

示例如下：

[root@iZuf /]# last -F
root     pts/0        我的IP地址   Wed Nov 23 08:43:28 2022   still logged in
...
root     pts/0        我的IP地址   Wed Oct 19 16:00:28 2022 - Wed Oct 19 18:16:46 2022  (02:16)
root     pts/0        我的IP地址   Wed Oct 19 09:51:51 2022 - Wed Oct 19 10:42:08 2022  (00:50)
...

last 命名会默认从wtmp文件中读取数据。所以我们可以不用添加wtmp文件路径，但是如果使用 last -f 就需要我们主动添加wtmp路径了。

上面的数据分别是：

  • 登录名：root。
  • 打开的终端：pts/0
  • 访问者IP：我的ip地址（PS：实际ip 是显示 111,111,111,111格式的）
  • 登录时间：Tue Nov 15 11:17:40 2022
  • 退出时间：Tue Nov 15 13:14:02 2022
  • 耗时：(01:56) 如果显示still logged in。表示当前仍然属于登录状态。

如果我们觉得日期显示阅读不直观，可以通过命令last --time-format 进行日期格式化。示例如下：

[root@iZuf /]# last --time-format iso
...
root     pts/0        我的IP地址     2020-08-07T17:05:19+08:00 - 2020-08-07T17:06:39+08:00  (00:01)

时间将会变成我们能够直接阅读的格式。（PS：+08:00 只是说明当前日期进行了时区添加，并不代表我们还需要在显示的时间中添加8小时哦）

--time-format 后面的可选参数为：

  • notime： 不显示时间。示例：(13:34)。只显示登录时长。不显示时间段
  • short：短时间显示。示例：Fri Nov 4 17:53 - 18:03 (00:09)
  • full：按照默认格式显示全部时间。示例：Tue Nov 22 13:48:22 2022 - Tue Nov 22 17:23:19 2022 (03:34)
  • iso：按照iso时间格式显示全部时间。示例：2020-08-07T17:05:19+08:00 - 2020-08-07T17:06:39+08:00 (00:01)

这个文件将会记录全部的登录记录。如果中间出现了不属于我们熟悉的ip登录。那么说明账户密码有泄漏。或者其他非法登录产生。

PS：-F 命令不能和--time-format 一起使用，因为它们两者都对输出的时间格式有影响。

3. btmp 日志

如果说wtmp是记录登录成功的日志。那么btmp就是记录所有尝试登录，但是登录失败的日志。它存储的路径和wtmp文件在同一目录下：/var/log/btmp

同样btmp也是属于二进制文件。无法通过cat或者vim 进行阅读。需要通过命令lastb进行阅读。

last： 阅读的wtmp文件

lastb：阅读的btmp文件

这两个指令是有一个字母的区别。千万不要弄混了

这两个命令的 参数可以说是完全一样。可以用于last的也可以用于lastb。

lastb的命令参数如下：

  • -<number> ：要显示多少行
  • -a, --hostlast ：在最后一列中显示主机名
  • -d, --dns ：将IP地址转换回主机名
  • -f <file> ：使用特定文件而不是/var/log/btmp
  • -F, --fulltimes ：打印完整的登录和注销时间和日期
  • -i, --ip ：以数字和点表示法显示IP号码
  • -n, --limit <number> ：要显示多少行
  • -R, --nohostname ：不显示主机名字段
  • -s, --since <time> ：显示指定时间之后的行 （查询指定时间之后的记录）
  • -t, --until <time> ：显示指定时间之前的行 （查询指定时间之前的记录）
  • -p, --present <time> ：显示在指定时间内在场的账户
  • -w, --fullnames ：显示完整的用户名和域名
  • -x, --system ：显示系统关闭条目和运行级别更改
  • --time-format <format> ：显示指定格式的时间戳 <format>: notime|short|full|iso

PS：-F 命令不能和--time-format 一起使用，因为它们两者都对输出的时间格式有影响。

具体使用示例：（PS：由于内容比较多，就先显示10条记录了）

[root@iZuf /]# lastb -10
liu      ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
sine     ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
ftpUser  ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
sine     ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
liu      ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
chenms   ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
mingjian ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
liu      ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
sine     ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)
ftpUser  ssh:notty    170.64.132.128   Wed Nov 23 07:40 - 07:40  (00:00)

格式表现为：

第一列显示登录名，第二列显示登录ssh方式很明显 ssh:notty是在使用暴力破解ssh密码。（这也是为什么Linux建议一段时间内跟换密码的原因，当然使用秘钥的安全性要比密码高不少。），第三列显示的就是访问者IP地址了。 之后的就是时间和耗费时长了。

示例,将时间戳进行序列化后显示如下：

[root@iZuf /]# lastb -10 --time-format iso
liu      ssh:notty    170.64.132.128   2022-11-23T07:40:24+08:00 - 2022-11-23T07:40:24+08:00  (00:00)
sine     ssh:notty    170.64.132.128   2022-11-23T07:40:24+08:00 - 2022-11-23T07:40:24+08:00  (00:00)
ftpUser  ssh:notty    170.64.132.128   2022-11-23T07:40:23+08:00 - 2022-11-23T07:40:23+08:00  (00:00)
sine     ssh:notty    170.64.132.128   2022-11-23T07:40:23+08:00 - 2022-11-23T07:40:23+08:00  (00:00)
liu      ssh:notty    170.64.132.128   2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00  (00:00)
chenms   ssh:notty    170.64.132.128   2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00  (00:00)
mingjian ssh:notty    170.64.132.128   2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00  (00:00)
liu      ssh:notty    170.64.132.128   2022-11-23T07:40:21+08:00 - 2022-11-23T07:40:21+08:00  (00:00)
sine     ssh:notty    170.64.132.128   2022-11-23T07:40:21+08:00 - 2022-11-23T07:40:21+08:00  (00:00)
ftpUser  ssh:notty    170.64.132.128   2022-11-23T07:40:21+08:00 - 2022-11-23T07:40:21+08:00  (00:00)

3.1 日志时长

btmp日志由于内容过多。它会按30天进行备份一次数据。只会备份一个月的数据。

备份文件和btmp文件存储在同一目录下，只是命名后面追加上备份创建日期而已。示例：

小技巧：在Linux系统中填写路径时按Tab将会补全，如果无法补全说明有多个候选项，我们双击Tab将会列出全部候选项。

[root@iZuf /]# ls var/log/btmp
btmp           btmp-20221101

例如上面的结果，我们如果要看btmp-20221101 里面的数据，就需要使用：lastb -f /var/log/btmp-20221101

示例如下，查询上个月的非法登录的前10条记录：

[root@iZuf /]# lastb -f /var/log/btmp-20221101 -10
sine     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
liu      ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
sine     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
sine     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
wjquan   ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
liu      ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
zkkj     ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
chenms   ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
mingjian ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)
mingjian ssh:notty    143.244.141.68   Sat Oct 29 22:02 - 22:02  (00:00)

如果非法登录的数据文件比较大，我们怎么进行查询呢？Linux可以针对数据进行筛选

3.2 统计ip登录次数

恶意访问数据过多的时候，我们通过lastb直接阅读比较困难因为数据较大。这个时候我们就可以通过对查询结果进行筛选。

例如：

[root@iZuf /]# lastb | awk '{ print $3}' | sort | uniq -c | sort -n
      5 98.143.158.42
   5368 143.244.137.83
   5402 170.64.132.120
   5522 170.64.132.128
   6212 193.47.61.21

上述显示结果，第一列ip地址的登录次数，第二列为ip地址。我们可以对登录过大的ip进行封禁操作。

下面进行命令拆分介绍。在Linux中通过|符号对命令进行拆分。

上述的命令其实就是：

  • lastb ： 通过lastb命令会拉取全部的非法登录日志
  • awk '{print $3}' ：截取lastb输出的数据中的第三列也就是ip地址。
  • sort ：将ip地址进行分类
  • uniq -c ：将分类好的ip数据进行去重并计数
  • sort -n ： 将分类去重并计数的数据，进行分类并且按照数值进行从小到大排序。

例如我们如果要查上一个月的非法登录次数统计：

[root@iZuf /]# lastb -f /var/log/btmp-20221101 | awk '{ print $3}' | sort | uniq -c | sort -n
     51 157.230.21.85
   4861 167.71.234.209
   5038 143.244.141.68
   5202 143.244.129.121
   5262 167.71.226.83

PS: 如果想高效控制和防范，那么使用防火墙可以说是最佳选择了。可以使用阿里云提供的云防火墙，包括结合情报的实时入侵防护、全流量可视化分析、智能化访问控制、日志溯源分析等能力。

https://www.aliyun.com/product/cfw?source=5176.11533457&userCode=w5jkvc5z

4. secure 日志

相较于wtmp文件和btmp文件，secure日志就是一个文本。可以通过vim或者cat阅读。也可以导出到windows环境下使用VSCode或者文本文档等阅读。

secure日志和wtmp和btmp文件一样，存储在var/log目录下。示例如下：

[root@iZuf /]# ls /var/log/secure
secure           secure-20221030  secure-20221106  secure-20221113  secure-20221120

secure文件是按照每7天备份一次的频率，进行备份的。文档打开后的内容如下所示：

Nov 20 09:25:19 iZuf sshd[2322424]: error: kex_exchange_identification: banner line contains invalid characters
Nov 20 12:55:16 iZuf sshd[2323018]: error: kex_exchange_identification: Connection closed by remote host
Nov 20 12:58:27 iZuf sshd[2323024]: Invalid user amax from 170.64.132.120 port 47146
Nov 20 12:58:28 iZuf sshd[2323026]: Invalid user amax from 170.64.132.120 port 47158
Nov 20 12:58:28 iZuf sshd[2323024]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:28 iZuf sshd[2323024]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:28 iZuf sshd[2323026]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:28 iZuf sshd[2323026]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:28 iZuf sshd[2323028]: Invalid user amax from 170.64.132.120 port 47164
Nov 20 12:58:28 iZuf sshd[2323030]: Invalid user amax from 170.64.132.120 port 47178
Nov 20 12:58:28 iZuf sshd[2323028]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:28 iZuf sshd[2323028]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:28 iZuf sshd[2323032]: Invalid user amax from 170.64.132.120 port 47188
Nov 20 12:58:29 iZuf sshd[2323030]: pam_unix(sshd:auth): check pass; user unknown
Nov 20 12:58:29 iZuf sshd[2323030]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
Nov 20 12:58:29 iZuf sshd[2323032]: pam_unix(sshd:auth): check pass; user unknown

相较于wtmp和btmp一个记录成功的，一个记录失败的。secure日志记录整个登录过程的所有数据，不管成功还是失败都会进行记录。

PS：由于secure日志属于文档类型的，那么登录成功后的非法登录它是可以比较方便的对secure文件进行篡改的。

下面简单列一些出现的各种错误和成功日志：

  1. 访问成功后的日志：Accepted password for root from 我的真实IP port 端口号 ssh2
  2. 指令与端口不匹配: 修改了默认的SSH端口（22） 改为其他端口了。攻击者访问该端口时，命令和端口服务不匹配就会出现下面的错误日志记录。
  3. error: kex_exchange_identification: banner line contains invalid characters
  4. ip地址为170.64.132.120 的主机尝试破解sshd登录：它使用了新的账户和密码进行验证
  5. pam_unix(sshd:auth): check pass; user unknown
    pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=170.64.132.120
  6. 提示来自于170.64.132.120 主机的端口 47146的请求，用户名无效。不允许操作：Invalid user amax from 170.64.132.120 port 47146
  7. 为正确用户开启root会话，也就是远程登录的命令输入界面：pam_unix(sshd:session): session opened for user root by (uid=0)
  8. 为用户关闭root会话 也就是命令行输入界面：pam_unix(sshd:session): session closed for user root
  9. 来自用户名jason的登录，密码和用户验证失败：Failed password for invalid user jason from 170.64.132.128 port 59676 ssh2

等等还有很多的命令日志。

只要我们的服务器开启了SSH，那么这种攻击就会再所难免。我们需要

  1. 修改默认的ssh的端口22改为其他的端口，可以提高安全性。
  2. root密码设置比较复杂的密码，并且保持更新。
  3. 使用秘钥验证比密码验证安全性更高。
  4. 使用防火墙屏蔽大量访问的ip.
  5. 使用脚本，对攻击访问进行自动拉黑添加到屏蔽访问的文件中。

5. 总结

只要将我们的服务器在公网环境公开，提供服务。就避免不了来自全球互联网上的各种攻击。大部分的攻击都是一些泛攻击，利用程序自动扫描并发起攻击而已。

更多的针对的都是一些弱密码例如123456，admin等的自动攻击脚本。

我们只需要给自己的服务器创建复杂程度高的密码，并保持一段时间的密码跟换。同时如果必须使用SSH登录就将默认端口22更换为其他端口。跟换端口可以参考文章：Linux 更换SSH默认22端口，禁用ping 指令，提高安全性

然后一段时间后，针对大量重复的ip地址进行封禁就可以了。



相关推荐

教你一个解决手机卡顿的方法（10秒解决手机卡顿问题）

我们的手机天天刷头条，看视频，用了一阶段时间以后，就时不时的发生卡顿现象。昨天我的手机就发现了这个问题。友友们，你们遇到过这样的问题吗？你们都是怎样解决的？我看了一眼我的粉丝情况，头条君给我分析的很精...

手机视频缓存清理，3步彻底清空，告别卡顿

在我们使用手机观看视频的过程中，经常会产生大量的缓存垃圾，这些垃圾文件不仅占用了手机的存储空间，还可能导致手机卡顿和运行缓慢。然而，你知道如何彻底清空手机的视频缓存，让手机恢复流畅的使用体验吗？在本文...

关手机这个开关，轻松提升流畅度!

关闭手机这个开关，跟新买的一样流畅。手机不要再清理垃圾了，只要关闭这个开关，手机就会和新买的差不多，丝滑流畅不卡顿。其实抖音里就隐藏着一个小开关，每天刷过的视频都会保存在手机里，如果一直不清理，手机就...

如何清理今日头条和西瓜视频的内存，让手机流畅不卡顿?

对于老年人而言，今日头条和西瓜视频能带来丰富的资讯与娱乐。然而，随着使用时间的增加，这些应用会占用大量手机内存，致使手机运行卡顿。那该如何解决呢？接下来，我将用最简单易懂的方式教老年人清理今日头条和西...

视频在线如何转换格式?好用不卡顿的三种转换办法

转换视频格式目前来说已经是很熟练的操作了，但是还有些用户可能还是不知道，小编今天就特意给大家带来一些小众才知道的转换教程，让新手也能快速的上手去转换视频格式，以后获取到视频就不怕内容丢失了，视频的格式...

如何把视频慢放处理?这几个慢放方法记得收藏

如何把视频慢放处理？如果你想让视频慢放，可能是因为你想放慢一些精彩的瞬间，或者你想制作一个慢动作视频。在这篇文章中，我们将介绍一些调速方法，这些方法可以有效地调整视频速度，一起来学习一下吧。方法一：使...

如何清理看过的视频，释放垃圾，让手机更流畅?

现在谁的手机上没几个短视频平台，无聊时就会刷别人的视频。可您知道吗？我们看过的内容都会被自动保存在手机里，而且很耗内存。如果长时间不释放，手机就会出现各种问题，其中最突出的就是反应慢。相信很多老年人的...

手机掉帧是怎么回事?刷视频的时候经常掉帧卡顿

手机掉帧是指在运行应用或视频时，画面出现卡顿、不流畅的现象，通常由硬件性能不足、软件优化不佳、内存占用过高、网络问题或设备过热等因素引起。尤其是在刷视频时，掉帧问题可能更为明显，以下是具体原因及解决方...

拍视频画面卡顿不流畅，原来是相机设置错误 #短视频拍摄

拍摄视频时，应该选择哪种快门速度？许多新手朋友可能会认为，快门速度越高，画面就越清晰，实则不然。因为拍摄视频时，需要考虑一个问题，即动态模糊。例如，如果设置为24帧/秒，那么每秒钟会拍摄24张图片。如...

手机卡顿最大原因#视频太卡怎么变流畅

抖音这几个开关是手机卡顿的最大原因。你是不是也会经常遇到刷视频的时候，打开一个视频之后老半天还在那转着圈圈，总觉得手机没有之前流畅了。这就说明你的手机占用的内存太多了，导致手机卡顿，使用不流畅。使用手...

为啥你家的玩游戏和刷视频经常性的会卡，那是你不懂这些小妙招

本内容来源于@什么值得买APP，观点仅代表作者本人｜作者：暴走的黄小猪说到网速有不少的值友都有一个共同点，那就是“卡”，那是你根本没体验过啥叫真正的网速啊，全屋零四条网络报表也花不了几个钱你们的方法...

电脑看视频卡顿有什么解决方法?（电脑看视频画面卡顿是什么原因）

电脑看视频卡顿的原因可能多种多样，包括硬件性能不足、网络问题、软件设置不当等。以下是一些常见的解决方法，帮助你改善视频播放的流畅度：一、硬件方面1.检查硬件性能：如果电脑配置较低，尤其是CPU、内存或...

手机Wi-Fi满格但视频卡顿，你需要这样解决

累了一天的打工人回家拿出手机准备玩玩游戏，看看电影时，发现网络异常卡顿，但手机又显示Wi-Fi信号满格，当咱们遇到此类问题时，这些动作能让网络恢复正常，方法如下。一、重启路由器和光猫很多家庭在安装好路...

视频越刷越卡?原来是路由器开启了这个功能，关闭方法来了

应该很多小伙伴都有过类似的经历，就是在家里长时间刷视频或者看剧的时候，网速好像会越来越慢，视频总是要加载。手机本身可能是一部分原因，但路由器也会影响，你知道吗？当我们在刷视频的，路由器会悄悄地开启大量...

一招解决视频卡顿的问题，改变发布渠道后，结果香了

最近一段时间拍了很多美景视频，编辑发布到头条后，有时一直显示在缓冲，播放不了，有时打开断断续续的，老是卡顿。导致的后果是：要么展现量很低，要么阅读量寥寥无几，这让我非常苦恼。所以再发布作品时，我只好文...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表