（分享）在UNIX中找出黑客。

在UNIX系统中找出黑客
一般人们都认为在众多的OS中，UNIX是比较安全的。但我们需知道，没有一种系统能够保证是绝对安全的，任何系统都会有让黑客们有机可乘的地方，UNIX也不例外。为了保护网络的安全，除了实施例行的安全措施外，也要时刻留意你的系统是不是真正安全，黑客是否已经光顾。以下介绍一些如何利用系统中的常用命令查看黑客足迹的方法。 
1.用w指令查看系统信息 
$w 
9:01pm up 10:08, 1 user, load average: 0.08, 0.06, 0.05 
User tty login@ idle JCPU PCPU what 
notes console 10:54am 9days 28:04 23:29 /usr/dt/bin/dtscreen -mode blank 
notes pts/2 10:54am 10:07 /sbin/sh 
notes pts/4 10:54am 10:06 /sbin/sh 
notes pts/5 10:56am 9:59 /sbin/sh 
在w显示信息的最开头是发出w命令的时间、系统启动后的时间、及注册在系统的用户数。最后的三个数表示平均负载，即使用系统资源的程度，使用w命令给系统增加了0.08负载。 其他两个数字分别表示在最后5分钟及十五分钟内系统的平均负载量。 
注意：当有人在猜password时，将会大大增加系统的平均负载。 

2.进程记帐 
Unix 系统可以通过设置选项来让核心在每个进程结束时产生一个记录。这些记录所产生的报告被称为进程记帐。它包括进程使用资源的信息，以及所执行的命令名。如果运行的是调整用户id程序，则还包括用户名等。系统管理员可根据进程记帐的CPU时间让用户交纳上机费，也可用进程记帐来观察某一用户执行了哪些命令。 进程记帐和审计是两码事，审计是监视对安全性敏感的事件。进程记帐并不记下所执行命令的参数，所以无法知道某一命令修改了哪个文件，甚至也不知道此命令的执行是否成功。但系统管理员仍然可以在进程记帐中找出某些线索。 
基于System V的系统和基于BSD的系统在进程记帐方面所采纳的方法不同，命令也不一样。 

2.1 System V记帐 
在System V 中，进程记帐保存在/usr/adm/pactt文件中。root可运行/usr/lib/acct/startup 来启动进程记帐。记帐信息的日常处理可用runacct命令来做，它会压缩pacct文件。每月的处理由shell程序monacct来完成。这两个程序都在/usr/lib/acct目录下。 acctcom 命令可用来搜索pacct中的内容，并产生报告。例如：查找用户"tommy"在10:00 至11:30这段时间内所执行的全部命令。见下表： 
$acctcom -u tommy -s 10:00 -e 11:30 
START BEF: Sat Oct 10 11:30:00 1998 
END AFTER: Sat Oct 10 10:00:00 1998 
COMMAND START END REAL CPU MEAN 
NAME USER TTYNAME TIME TIME (SECS) (SECS) SIZE(K) 
cat tommy pts/3 11:01:13 11:01:13 0.02 0.02 492.00 
mail tommy pts/3 11:01:13 11:01:13 0.02 0.02 876.00 
clear tommy pts/3 11:01:14 11:01:14 0.03 0.01 744.00 
ls tommy pts/3 11:01:16 11:01:16 0.03 0.03 776.00 
date tommy pts/3 11:01:23 11:01:23 0.01 0.01 664.00 

论坛热门帖子:	[lch203] 写得蛮好的linux学习笔记(10-21) [黑马制造] 学习java的30个目标(10-19) [笑傲股林] 做测试半年了，有点迷茫，应该再学些什么提高自己的测试水平和测试能力呢？(10-19) [udp8589] 大家用google的来吱一声? 用百度的~~也来报道下?(10-18) [沂偌掳兆] 本人总结的一些认为C++比较经典的书籍，希望对大家有用(10-18)
TAG标签:	黑客 找出 系统 可以 一个 文件 用户 命令 目录 一些