Linux执行命令监控详细实现原理和使用教程，以及相关工具的使用

news2024/11/25 0:40:40

Linux执行命令监控详细实现原理和使用教程，以及相关工具的使用。

在这里插入图片描述

0x00 背景介绍

Linux上的HIDS需要实时对执行的命令进行监控，分析异常或入侵行为，有助于安全事件的发现和预防。为了获取执行命令，大致有如下方法：

  1. 遍历/proc目录，无法捕获瞬间结束的进程。
  2. Linux kprobes调试技术，并非所有Linux都有此特性，需要编译内核时配置。
  3. 修改glic库中的execve函数，但是可通过int0x80绕过glic库，这个之前360 A-TEAM一篇文章有写到过。
  4. 修改sys_call_table，通过LKM(loadable kernel module)实时安装和卸载监控模块，但是内核模块需要适配内核版本。

确定了Hook点之后，就可以选择Hook方案了，这时有几个选择：
在应用层：

1、在ring3通过/etc/ld.so.preload劫持系统调用
2、二次开发glibc加入监控代码(据说某产品就是这么做监控的)
3、基于调试器思想通过ptrace()主动注入

在应用层做Hook的好处是不受内核版本影响，通用性较好，而且技术难度相对较低，但是缺点更明显，因为ring3层的Hook都是针对glibc库做的监控，只要直接陷入0x80中断，就可以绕过glibc库直接调用系统调用，比如近期分析的某挖矿木马：

在这里插入图片描述

既然应用层的监控行不通，那就看看内核层的监控手段：

1、API Inline Hook
2、sys_call_table Hook
3、IDT Hook
4、利用LSM(Linux Security Module)

API Inline Hook以及IDT Hook操作难度较大，而且兼容性较差，利用LSM监控API虽然性能最好，但是必须编译进内核才能使用，不可以实时安装卸载，而sys_call_table的Hook相对易于操作，作为防御者也可以直接从” /boot/System.map-uname -r ”中直接获取sys_call_table地址，也可以利用LKM(loadable kernel module)技术实现实时安装卸载，所以最后选择在内核层Hook sys_call_table实现监控。

综合上面方案的优缺点，我们选择修改sys_call_table中的execve系统调用，虽然要适配内核版本，但是能100%监控执行的命令。

Linux执行命令监控是一种安全机制，它允许系统管理员跟踪和记录用户在系统上执行的所有命令。这种监控对于确保系统安全、防止滥用和进行事后分析非常重要。以下是Linux执行命令监控的详细实现原理和使用教程。

实现原理

Linux执行命令监控的实现原理主要基于以下几个方面：

  1. 审计系统：
    Linux的审计系统（auditd）是一个强大的工具，它可以记录系统调用和关键文件的更改。通过配置审计规则，管理员可以监控特定用户的命令执行情况。

  2. 命令历史记录：
    Linux的history命令可以记录用户在终端会话中执行的所有命令。这个功能默认启用，并且可以通过.bash_history文件来查看。

  3. 进程监控：
    使用如ps、top、htop等工具，可以实时监控系统上运行的进程。结合其他工具，如awk和grep，可以过滤出特定用户的进程。

  4. 日志文件：
    Linux系统会生成多种日志文件，如/var/log/auth.log记录了用户的登录和注销信息，而/var/log/secure（在某些发行版中）记录了认证相关的事件。

  5. 系统调用跟踪：
    通过使用如strace这样的工具，可以监控和记录进程执行的系统调用。这对于理解命令执行的底层行为非常有用。

  6. 文件系统监控：
    使用inotify工具可以监控文件系统事件，如文件的创建、修改和删除。这对于跟踪命令对文件系统的影响很有帮助。

使用教程

以下是如何在Linux系统中设置和使用命令监控的教程：

1. 使用auditd监控命令执行

  • 安装auditd：

    sudo apt-get install auditd audispd-plugins # Debian/Ubuntu
sudo yum install auditd audispd-plugins # CentOS/RedHat

  • 配置审计规则：
    使用auditctl命令添加规则，例如，监控所有用户的sudo命令：

    sudo auditctl -w /usr/bin/sudo -p x -k sudo_rule

    这里-w指定要监控的文件或目录，-p x表示监控所有执行权限，-k用于为规则命名。

  • 查看审计日志：
    审计日志通常存储在/var/log/audit/audit.log。可以使用ausearch工具来搜索和分析日志：

    sudo ausearch -k sudo_rule
2. 查看命令历史记录

  • 查看历史命令：

    history

    或者查看历史记录文件：

    cat ~/.bash_history

  • 配置历史记录：
    可以编辑用户的.bashrc或.bash_profile文件来更改历史记录的行为，例如，增加历史记录的大小或自动记录命令。

3. 监控进程

  • 实时监控进程：

    top

    或者使用htop，如果已安装：

    htop

  • 过滤特定用户的进程：

    ps -u username
4. 分析日志文件
  • 查看认证日志：
    cat /var/log/auth.log
    或者使用less或tail进行分页查看。
5. 使用strace跟踪系统调用
  • 监控特定进程：
    strace -p pid
    其中pid是要监控的进程ID。
6. 监控文件系统事件
  • 监控特定目录：
    inotifywait -m -r /path/to/directory
    -m表示监控模式，-r表示递归监控。

Linux执行命令监控是一个涉及多个工具和机制的复杂过程。通过合理配置和使用这些工具，系统管理员可以有效地监控和记录用户的行为，从而提高系统的安全性和可审计性。需要注意的是，监控活动应当遵守相关的隐私和法律规定，确保在合法和道德的框架内进行。

0x01 总体架构

首先sys_execve监控模块，需要替换原有的execve系统调用。在执行命令时，首先会进入监控函数，将日志通过NetLink发送到用户态分析程序（如想在此处进行命令拦截，修改代码后也是可以实现的），然后继续执行系统原生的execve函数。

在这里插入图片描述

0x02 获取sys_call_table地址

获取sys_call_table的数组地址，可以通过/boot目录下的System.map文件中查找。

命令如下：
cat /boot/System.map-uname-r| grep sys_call_table
这种方式比较麻烦，在每次insmod内核模块的时候，需要将获取到的地址通过内核模块传参的方式传入。而且System.map并不是每个系统都有的，删除System.map对于系统运行无影响。

我们通过假设加偏移的方法获取到sys_call_table地址，首先假设sys_call_tale地址为sys_close，然后判断sys_call_table[__NR_close]是否等于sys_close，如果不等于则将刚才的sys_call_table偏移sizeof(void *)这么多字节，直到满足之前的判断条件，则说明找到正确的sys_call_table的地址了。

代码如下：

unsigned long **find_sys_call_table(void) {
    unsigned long ptr;
    unsigned long *p;
    pr_err("Start foundsys_call_table.\n");
        for (ptr = (unsignedlong)sys_close;
         ptr < (unsignedlong)&loops_per_jiffy;
         ptr += sizeof(void*)) {
        p = (unsigned long*)ptr;
        if (p[__NR_close] ==(unsigned long)sys_close) {
            pr_err("Foundthe sys_call_table!!! __NR_close[%d] sys_close[%lx]\n"
                    "__NR_execve[%d] sct[__NR_execve][0x%lx]\n",
                   __NR_close,
                   (unsigned long)sys_close,
                   __NR_execve,
                    p[__NR_execve]);
            return (unsignedlong **)p;
        }  
    }  
        return NULL;
}

0x03 修改__NR_execve地址

即使获取到了sys_call_table也无法修改其中的值，因为sys_call_table是一个const类型，在修改时会报错。因此需要将寄存器cr0中的写保护位关掉，wp写保护的对应的bit位为0x00010000。

代码如下：

unsigned long original_cr0;
original_cr0 = read_cr0();
write_cr0(original_cr0 & ~0x00010000);  #解除写保护
orig_stub_execve = (void *)(sys_call_table_ptr[__NR_execve]);
sys_call_table_ptr[__NR_execve]= (void *)monitor_stub_execve_hook;
write_cr0(original_cr0);        #加上写保护

在修改sys_call_hook[__NR_execve]中的地址时，不只是保存原始的execve的地址，同时把所有原始的系统调用全部保存下载。

void *orig_sys_call_table [NR_syscalls];
for(i = 0; i < NR_syscalls - 1; i ++) {
    orig_sys_call_table[i] =sys_call_table_ptr[i];
}

0x04 Execve进行栈平衡

除了execve之外的其他系统调用，基本只要自定义函数例如：my_sys_write函数，在此函数中预先执行我们的逻辑，然后再执行orig_sys_write函数，参数原模原样传入即可。但是execve不能模仿上面的写法，用以上的方法可能会导致Kernel Panic。
需要进行一下栈平衡，操作如下：

  1. 定义替换原始execve函数的函数monitor_stub_execve_hook
.text
.global monitor_stub_execve_hook
monitor_stub_execve_hook:
  1. 在执行execve监控函数之前，将原始的寄存器进行入栈操作：
pushq   %rbx
pushq   %rdi
pushq   %rsi
pushq   %rdx
pushq   %rcx
pushq   %rax
pushq   %r8
pushq   %r9
pushq   %r10
pushq   %r11

  1. 执行监控函数并Netlink上报操作：
    call monitor_execve_hook

  2. 入栈的寄存器值进行出栈操作

pop     %r11
pop     %r10
pop     %r9
pop     %r8
pop     %rax
pop     %rcx
pop     %rdx
pop     %rsi
pop     %rdi
pushq   %rbx
  1. 执行系统的execve函数
    jmp *orig_sys_call_table(, %rax, 8)

0x05 执行命令信息获取

监控执行命令，如果用户态使用的是相对路径执行，此模块也需要获取出全路径。通过getname()函数获取执行文件名，通过open_exec()和d_path()获取出执行文件全路径。通过current结构体变量获取进程pid，父进程名，ppid等信息。同时也获取运行时的环境变量中PWD，LOGIN相关的值。
最终将获取到的数据组装成字符串，用ascii码值为0x1作为分隔符，通过netlink_broadcast()发送到到用户态分析程序处理。

0x06 监控效果

在加载内核模块，在用户态执行netlink消息接收程序。然后使用相对路径执行命令./t my name is xxxx，然后查看用户态测试程序获取的数据。

在这里插入图片描述
在这里插入图片描述

0x07 版本支持及代码

支持内核版本：2.6.32, >=3.10.0
源代码路径：https://github.com/ysrc/yulong-hids/tree/master/syscall_hook

在Linux系统中，有多种工具可以用来监控执行命令，这些工具可以帮助系统管理员跟踪用户行为、审计系统操作或进行安全分析。以下是20个用于监控Linux执行命令的工具，以及它们的访问链接：

  1. auditd - Linux审计守护进程

    • 访问链接: https://www.linux-audit.com/

  2. syslog-ng - 灵活的日志管理工具

    • 访问链接: https://www.syslog-ng.com/

  3. rsyslog - 用于日志处理的系统服务

    • 访问链接: http://www.rsyslog.com/

  4. logrotate - 管理日志文件的轮换、压缩和删除

    • 访问链接: https://github.com/logrotate/logrotate

  5. logwatch - 监视系统日志并生成报告

    • 访问链接: https://sourceforge.net/projects/logwatch/

  6. Swatch - 监视系统日志文件的变化

    • 访问链接: http://swatch.sourceforge.net/

  7. Glog - C++日志库，支持日志监控

    • 访问链接: https://github.com/google/glog

  8. Logstash - 收集、解析和丰富日志数据

    • 访问链接: https://www.elastic.co/de/products/logstash

  9. Filebeat - 轻量级日志文件收集器

    • 访问链接: https://www.elastic.co/de/products/beats/filebeat

  10. GoAccess - 实时日志分析器和交云式查看器

    • 访问链接: https://goaccess.io/

  11. Graylog - 强大的日志管理平台

    • 访问链接: https://www.graylog.org/

  12. Fluentd - 开源数据收集器

    • 访问链接: https://www.fluentd.org/

  13. Prometheus - 监控系统和应用程序的时间序列数据库

    • 访问链接: https://prometheus.io/

  14. Netdata - 性能监控和可视化工具

    • 访问链接: https://www.netdata.cloud/

  15. Zabbix - 企业级监控解决方案

    • 访问链接: https://www.zabbix.com/

  16. Nagios - 监控系统、网络和基础设施

    • 访问链接: https://www.nagios.org/

  17. Icinga - 监控系统，Nagios的分支

    • 访问链接: https://www.icinga.com/

  18. Puppet - 配置管理平台，可以用于监控配置变更

    • 访问链接: https://puppet.com/

  19. Chef - 自动化平台，用于管理服务器和应用程序

    • 访问链接: https://www.chef.io/

  20. Ansible - 自动化工具，可以用于监控和执行任务

    • 访问链接: https://www.ansible.com/

请注意，上述工具的使用应遵守法律法规，并在获得授权的情况下进行。这些工具主要用于教育和安全研究目的，以提高系统的安全性。在使用这些工具时，应确保不侵犯他人的隐私和权益。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1591527.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

OJ 古籍翻译 【进制转化】【C】

OJ 古籍翻译 【进制转化】【C】

这里有两个考察点&#xff0c;一个是进制转换&#xff0c;还有一个是以字符串输出 知识点&#xff1a; sprintf(参数一&#xff0c;参数二&#xff0c;参数三) 将参数三按参数二的格式转换后存入参数一中 sprintf与printf用法基本一样&#xff0c;只是sprintf是将值打印到指…
阅读更多...
R语言数据可视化：基本绘图系统

R语言数据可视化：基本绘图系统

目录 plot函数 par函数 hist函数 boxplot函数 plot函数应用实战 全局参数 R语言中有三大绘图系统包括基本绘图系统&#xff0c;Lattice绘图系统&#xff0c;ggplot2绘图系统 基本绘图系统 在R语言中&#xff0c;以下函数通常用于创建和定制图形&#xff1a; plot 函数…
阅读更多...
ansible的常见用法

ansible的常见用法

目录 ##编辑hosts文件 ##copy模块##复制过去 ##fetch模块##拉取 ##shell模块 ##好用 ##command模块## ##file模块### ##cron模块### ##crontab 计划任务 ##下载好时间插件 ##script模块 ##yum模块## ##yum下载源配置文件 /etc/yum.repos.d/CentOS-Base.repo ##ser…
阅读更多...
时间序列分析 # 平稳性检验和ARMA模型的识别与定阶 #R语言

时间序列分析 # 平稳性检验和ARMA模型的识别与定阶 #R语言

掌握单位根检验的原理并能解读结果&#xff1b;掌握利用序列的自相关图和偏自相关图识别模型并进行初步定阶。 原始数据在文末&#xff01;&#xff01;&#xff01; 练习1、根据某1971年9月-1993年6月澳大利亚季度常住人口变动&#xff08;单位&#xff1a;千人&#xff09;的…
阅读更多...
MySQL 嵌套查询

MySQL 嵌套查询

嵌套查询 是指在一个完整的查询语句之中&#xff0c;包含若干个不同功能的小查询&#xff1b;从而一起完成复杂查询的一种编写形式。包含的查询放在&#xff08;&#xff09;里 &#xff0c; 包含的查询出现的位置&#xff1a; 位置含义SELECT之后把查询结果作为表头使用FROM…
阅读更多...
ubuntu20.04.3挂载共享文件夹

ubuntu20.04.3挂载共享文件夹

VMware设置win共享文件夹 在linux执行挂载命令 sudo vmhgfs-fuse /mnt/hgfs/ -o nonempty这样就可以用管理员访问/mnt/hgfs/share
阅读更多...
场景：如何做数据清理

场景：如何做数据清理

如果数据清理简单粗暴按时间进行清理&#xff0c;同时时间字段并没有增加索引就会出问题 如果没有增加索引&#xff0c;他就会进行全表扫描&#xff0c;并且会给全表的数据上一个x锁 会阻塞其他的线程 解决方案参考阿里云DMS数据清理方案 这个SQL查询的目的是从名为table_hol…
阅读更多...
2024年mathorcup数学建模思路及论文助攻

2024年mathorcup数学建模思路及论文助攻

题目C题 物流网络分拣中心货量预测及人员排班 电商物流网络在订单履约中由多个环节组成&#xff0c;图1是一个简化的物流网络示意图。其中&#xff0c;分拣中心作为网络的中间环节&#xff0c;需要将包裹按照不同流向进行分拣并发往下一个场地&#xff0c;最终使包裹到达消费者…
阅读更多...
Towards Street-Level Client-Independent IP Geolocation（2011年）（第一部分）

Towards Street-Level Client-Independent IP Geolocation（2011年）（第一部分）

被引次数：306 Wang Y, Burgener D, Flores M, et al. Towards {Street-Level}{Client-Independent}{IP} Geolocation[C]//8th USENIX Symposium on Networked Systems Design and Implementation (NSDI 11). 2011. Abstract 一个高度精确的客户端独立的地理定位服务将是互联…
阅读更多...
电商广告中的OCPC是什么？OCPC原理是什么？

电商广告中的OCPC是什么？OCPC原理是什么？

1.定义&#xff1a; OCPC是指optimized cost per click&#xff08;以目标转化为优化方式的点击出价&#xff09;&#xff0c;本质还是按照cpc付费。 2.三大特点&#xff1a;抢流量、避免无效流量、提高转化&#xff1b; 3.放量原理&#xff1a; 通过捕捉用户行为、行业数据…
阅读更多...
数组算法——查询位置

数组算法——查询位置

需求 思路 使用二分查找找到第一个值&#xff0c;以第一个值作为界限&#xff0c;分为左右两个区间在左右两个区间分别使用二分查找找左边的7,&#xff1a;找到中间位置的7之后&#xff0c;将中间位置的7作为结束位置&#xff0c;依次循环查找&#xff0c;知道start>end,返回…
阅读更多...
股票价格预测 | Python使用LSTM预测股票价格

股票价格预测 | Python使用LSTM预测股票价格

文章目录 效果一览文章概述代码设计效果一览 文章概述 Python使用LSTM预测股票价格 代码设计 import pandas as pd import matplotlib.pyplot as plt import numpy as np import tensorflowfrom numpy import
阅读更多...
mui和uniapp跳转外部链接

mui和uniapp跳转外部链接

Hbuilder开发的app&#xff0c;会涉及到跳转H5页面 mui <!DOCTYPE html> <html><head><meta charset"utf-8"><meta name"viewport" content"initial-scale1.0, maximum-scale1.0, user-scalableno" /><link …
阅读更多...
明明设置数字居中对齐，为什么excel的数字却不居中？

明明设置数字居中对齐，为什么excel的数字却不居中？

有时候在excel里&#xff0c;选中数据&#xff0c;设置对齐方式 左右居中&#xff0c;然而&#xff0c;数字却怎么都不居中&#xff0c;为什么呢&#xff1f; 1.按快捷键Ctrl1&#xff0c;打开单元格自定义格式对话框&#xff0c;看到是初始界面是在数字的会计专用&#xff0c;…
阅读更多...
浮点数加减运算、强制类型转换

浮点数加减运算、强制类型转换

目录 王道考研ppt总结&#xff1a; 二、个人理解 浮点数加减运算步骤&#xff1a;1、对阶2、尾数加减3、规格化&#xff08;左规和右规&#xff09;4、舍入5、判断溢出 三、数据类型转换 王道考研ppt总结&#xff1a; 二、个人理解 浮点数加减运算步骤&#xff1a; 1、对…
阅读更多...
Suno AI

Suno AI

Suno is the latest big name in AI, but what is it? Keep reading to learn everything you need to know about Suno AI, including what it is, what it can do, and how much it costs. Suno AI是一款由Anthropic公司开发的人工智能音乐生成器&#xff0c;它利用先进…
阅读更多...
C语言什么是指针？ 什么是指针变量？

C语言什么是指针？ 什么是指针变量？

一、问题 指针是 C 语⾔中的⼀个重要概念&#xff0c;也是 C 语⾔中的⼀个重要特⾊。它的身影在整个 C 语⾔体系中都会出现&#xff0c;⽽且其概念也⼗分复杂&#xff0c;需要多加注意和思考。 二、解答 为了更好地弄清指针的概念&#xff0c;这⾥不得不先提到地址以及数据在内…
阅读更多...
2024年助理工程师职称申报时间是什么时候？

2024年助理工程师职称申报时间是什么时候？

2024年助理工程师职称评审申报仅有10天时间 2024年助理职称申报条件&#xff1a;1.学历满足专三或者本一2.工程类专业毕业3.中专毕业满足5年 如果有学历条件不符合的话&#xff0c;可以跟甘建二这边协商&#xff0c;帮你解决 继续教育要求&#xff1a;中专毕业或⼤学专科毕业…
阅读更多...
GAN:对抗式生成网络之图片生成

GAN:对抗式生成网络之图片生成

对抗式生成网络（Adversarial Generative Network, AGN）这一术语在您提供的信息中并未直接出现。通常，在深度学习文献和实践中，与“对抗”和“生成”概念相结合的网络架构指的是生成式对抗网络（Generative Adversarial Networks, GANs）。GANs由Ian Goodfellow等人于2014年…
阅读更多...
Golang | Leetcode Golang题解之第26题删除有序数组中的重复项

Golang | Leetcode Golang题解之第26题删除有序数组中的重复项

题目&#xff1a; 题解&#xff1a; func removeDuplicates(nums []int) int {n : len(nums)if n 0 {return 0}slow : 1for fast : 1; fast < n; fast {if nums[fast] ! nums[fast-1] {nums[slow] nums[fast]slow}}return slow }
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023