主題: 偵測Hack入侵...不可不知的小技巧 !!!

[Ken]

文章來潮源:http://www.adj.idv.tw/phpBB2/viewtopic.php?t=563

最近發現Hack越來越多了...連Firewall都沒大隻Hack的辦法...只好亡羊補牢..弄個小技巧讓對方只要一登入...就馬上寄信給特定的帳號...想攔截也都來不及...
這樣才知道對方什麼時後來的...以及從那裡來...相信這些資訊對被Hack的一方很有用..因為厲害的Hack會把所有可查的記錄檔全部清掉...讓你無從查起...試試看這個...很好用的..


(1)編輯 /etc/profile 在最後一行加入底下語法:
Code:

NOW=`date +%Y%m%d:%H%M%S`
LAST=`last $USER -5`
echo "[$NOW]: From $HOSTNAME : this user $USER login..." > /tmp/userlogin.log
echo "$LAST" >> /tmp/userlogin.log
mail -s "Attention !! User Login~~" user1@test.com,user2@test.com < /tmp/userlogin.log
rm -f /tmp/userlogin.log
 

這樣的話可以把信寄給兩個user...當然要一個的話也可以囉...

(2)用這個方法只有root登入才能顯示完整訊息..如果是其它user要修改wtmp
Code:

chmod 644 /var/log/wtmp
 


哈哈...這樣做有沒有比較放心一點呢?

[劍客]

以前的人是把印表機接在旁邊，駭客的一舉一動都被印下來了。

[duncanlo]

hacker都由telnet進來嗎?

[Ken]

甚麼有漏動或千奇古怪的方法也有,中途載劫,強行爆破,遠距離狙擊,甚麼也有...哈哈

[bloom]

在redhat6.1上，有試過，真的可以 :roll:

但用在mandrake8.2上不行，不知道要修改哪些？

用在Redhat7.3上也不行耶！不知道要修改哪些？

[DemonCris]

在redhat6.1上，有試過，真的可以 :roll:

但用在mandrake8.2上不行，不知道要修改哪些？

用在Redhat7.3上也不行耶！不知道要修改哪些？

記得是` ` 而不是 ' '

[bloom]

謝謝可以了
因為複製貼上的原因，造成斷行的現象，調整為一行後，就可以了^_^

[samuelsun]

諸位大大：

    個人按照上述來修訂了/etc/profile
   執行上沒有問題，但是信一直收不到。
    查看maillog發現有以下的錯誤訊息
Apr 21 08:41:42 dns sm-msp-queue[4008]: i3K7e1fE004760: to=abc@aa.bb.cc,def@aa.bb.cc, ctladdr=root (0/0), delay=17:01:41, xdelay=00:00:00, mailer=relay, pri=1680089, relay=[127.0.0.1], dsn=4.0.0, stat=Deferred: Connection refused by [127.0.0.1]

   請問是那弄不對了呢
    一般信件發送都正常唷!!

   感恩

[Pail]

Connection refused !!
Check ur mail server setting...

[samuelsun]

Pail Lo學長提到檢查sendmail的設定是指那一個部份呢

  因為一般的使用者都能透過web mail正常收發信件
  唯有在主機上沒法以mail的方式發信

  我先查一下其他使用者可否以mail發信再回報
  同時是否也請諸位學長說的詳細一些

[jarrycho]

我有試mail 這個指令，但是會hold 在那邊，不會有寄出的動作？mail
這個指示會去call sendmail 的設定嗎？-h 看的結果是可以用sendmail
的設定，請教這是什麼意思？

[dark]

以前的人是把印表機接在旁邊，駭客的一舉一動都被印下來了。

請問學長 , 這招怎麼做呢...?
可以提供個方向嗎...?

[harrier]

以前的人是把印表機接在旁邊，駭客的一舉一動都被印下來了。

請問學長 , 這招怎麼做呢...?
可以提供個方向嗎...?

linux??

不曉得接台 printer，然後修改 syslog.conf，把輸出都改到 LPT
如何？

[zterry26]

感謝大大
小弟剛在Fedora Core 2試過可以了

[洋蔥叔叔]

我覺得在他成功登入那一瞬間你已經失敗了？

[lio.lee]

看完各位前輩的發言後;小弟得到一個結論,這篇文章主要適用在亡羊補牢,當然媒人希望自己的主機被人入侵吧!如果真的不幸遭毒手,也要先檢討自己安全防護沒做好,講白一點,收到系統發出的mail只是讓自己死的明白一點,知道自己被入侵過,快點檢視自己有無被植入木馬或其他損害。

[emptyboat]

lio.lee 大大講的沒錯「只是讓自己死的明白一點」
有沒更好的方法呢，答案是道高一尺魔高一丈。

[dearseki]

哈哈，說的沒錯。
不過要做好安全防護真的不容易，有沒有人可以提供整理一下安全防護的大綱呢？
最近要接觸HP-UX，不太懂說...