rootshell時unset HISTFILESIZE,退出時忘了復原 ， 留下一條痕跡 。諸如此類的例子還有很多 ， 日志清除工具是死的 ， 它只會清除預定義的
項目 ， 雖然你也能修改源碼 ， 但那樣還是不能隨機應變 。最保險的方法就是手工勞動 ， 這樣就加大了入侵者的負擔 。出于懶惰 ，
對系統(tǒng)掌握程度不夠或是各種各樣的原因往往還是會留下一些對我們有價值的東西 。所以 ， 檢查日志對應急響應來說非常重要 。
==============
執(zhí)行關鍵字搜索
==============
無論是對何種操作系統(tǒng)進行應急響應 ， 關鍵字搜索都是該過程的一部分 。針對某個具體事件 ， 可能會有一些ID,phrase與此事件密切相關 ，
執(zhí)行關鍵字搜索可以找到更多的信息 。關鍵字可以是很長的ASCII字符串 ， 包括攻擊者后門密碼 ， 用戶名 ， Mac地址或IP.
例：搜索整個文件系統(tǒng)中包含ay4z3ro字符串大小寫形式的所有文件：
[root@ay4z3ro foo]# grep –r –i ay4z3ro /
strings命令用于顯示文件中的可打印字符 ， 例如:srings /bin/login用于顯示login后門中的密碼（未加密的明文 ， 編碼或加密后的散列） 。
Find命令用于尋找匹配常規(guī)表達式的任何文件名 。例：
在整個文件系統(tǒng)中搜索名為…的文件或目錄：
[root@ay4z3ro foo]# find / -name “... –print
此外find命令可以匹配的特征還包括：修改訪問時間 ， 文件所有者 ， 文件內(nèi)的字符串 ， 文件名的字符串等 。
推薦閱讀
- 在SCO UNIX操作系統(tǒng)下架設簡單路由器
- SCO UNIX--安裝
- SCO UNIX系統(tǒng)root密碼丟失的處理
- SCO UNIX--基本配置及操作
- SCO UNIX--機器啟動的認識
- 一 SCO UNIX--高級進階
- 二 SCO UNIX--高級進階
- 三 SCO UNIX--高級進階
- UNIX平臺廉價雙機容錯方案
- Unix系統(tǒng)安全必讀