用linux收集证据的一般程序

在redhat linux家族系列上

第一步确定系统:cat /etc/redhat-release

Red Hat Enterprise Linux AS release 4 (Nahant Update 4)

第二步确定主机的名称和IP以及其他网络设置

[root@localhost t]# cat etc/hosts

127.0.0.1               apollo.honeyp.edu apollo localhost.localdomain localhost

[root@localhost t]#

[root@localhost t]# cat etc/sysconfig/network

NETWORKING=yes

HOSTNAME=apollo.honeyp.edu

GATEWAY=172.16.1.254

DEVICE=eth0

BOOTPROTO=static

BROADCAST=172.16.1.255

IPADDR=172.16.1.107

NETMASK=255.255.255.0

NETWORK=172.16.1.0

ONBOOT=yes

第三步查看系统上谁曾经登陆过用的命令是

[root@localhost t]# last -f var/log/wtmp

root     tty1                          Thu Nov  9 10:37    gone - no logout

wtmp begins Wed Nov  8 22:59:52 2000

这里已经被入侵内者给清除痕迹了。

第四步查看谁曾经登陆过和从哪里过来的

[root@localhost t]# cat var/log/secure

Nov  5 10:54:49 apollo in.telnetd[680]: connect from 207.239.115.11

Nov  6 02:59:23 apollo in.ftpd[973]: connect from 128.121.247.126

Nov  8 00:08:40 apollo in.telnetd[2077]: connect from 216.216.74.2

Nov  8 00:08:40 apollo in.telnetd[2078]: connect from 216.216.74.2

第五部查看程序的启动和关闭过程

[root@localhost t]# cat var/log/messages