Linux执行命令监控详细实现原理和使用教程，以及相关工具的使用

Linux执行命令监控详细实现原理和使用教程，以及相关工具的使用。

在这里插入图片描述

0x00 背景介绍

Linux上的HIDS需要实时对执行的命令进行监控，分析异常或入侵行为，有助于安全事件的发现和预防。为了获取执行命令，大致有如下方法：

  1. 遍历/proc目录，无法捕获瞬间结束的进程。
  2. Linux kprobes调试技术，并非所有Linux都有此特性，需要编译内核时配置。
  3. 修改glic库中的execve函数，但是可通过int0x80绕过glic库，这个之前360 A-TEAM一篇文章有写到过。
  4. 修改sys_call_table，通过LKM(loadable kernel module)实时安装和卸载监控模块，但是内核模块需要适配内核版本。

确定了Hook点之后，就可以选择Hook方案了，这时有几个选择：
在应用层：

1、在ring3通过/etc/ld.so.preload劫持系统调用
2、二次开发glibc加入监控代码(据说某产品就是这么做监控的)
3、基于调试器思想通过ptrace()主动注入

在应用层做Hook的好处是不受内核版本影响，通用性较好，而且技术难度相对较低，但是缺点更明显，因为ring3层的Hook都是针对glibc库做的监控，只要直接陷入0x80中断，就可以绕过glibc库直接调用系统调用，比如近期分析的某挖矿木马：

在这里插入图片描述

既然应用层的监控行不通，那就看看内核层的监控手段：

1、API Inline Hook
2、sys_call_table Hook
3、IDT Hook
4、利用LSM(Linux Security Module)

API Inline Hook以及IDT Hook操作难度较大，而且兼容性较差，利用LSM监控API虽然性能最好，但是必须编译进内核才能使用，不可以实时安装卸载，而sys_call_table的Hook相对易于操作，作为防御者也可以直接从” /boot/System.map-uname -r ”中直接获取sys_call_table地址，也可以利用LKM(loadable kernel module)技术实现实时安装卸载，所以最后选择在内核层Hook sys_call_table实现监控。

综合上面方案的优缺点，我们选择修改sys_call_table中的execve系统调用，虽然要适配内核版本，但是能100%监控执行的命令。

Linux执行命令监控是一种安全机制，它允许系统管理员跟踪和记录用户在系统上执行的所有命令。这种监控对于确保系统安全、防止滥用和进行事后分析非常重要。以下是Linux执行命令监控的详细实现原理和使用教程。

实现原理

Linux执行命令监控的实现原理主要基于以下几个方面：

  1. 审计系统：
    Linux的审计系统（auditd）是一个强大的工具，它可以记录系统调用和关键文件的更改。通过配置审计规则，管理员可以监控特定用户的命令执行情况。

  2. 命令历史记录：
    Linux的history命令可以记录用户在终端会话中执行的所有命令。这个功能默认启用，并且可以通过.bash_history文件来查看。

  3. 进程监控：
    使用如ps、top、htop等工具，可以实时监控系统上运行的进程。结合其他工具，如awk和grep，可以过滤出特定用户的进程。

  4. 日志文件：
    Linux系统会生成多种日志文件，如/var/log/auth.log记录了用户的登录和注销信息，而/var/log/secure（在某些发行版中）记录了认证相关的事件。

  5. 系统调用跟踪：
    通过使用如strace这样的工具，可以监控和记录进程执行的系统调用。这对于理解命令执行的底层行为非常有用。

  6. 文件系统监控：
    使用inotify工具可以监控文件系统事件，如文件的创建、修改和删除。这对于跟踪命令对文件系统的影响很有帮助。

使用教程

以下是如何在Linux系统中设置和使用命令监控的教程：

1. 使用auditd监控命令执行

  • 安装auditd：

    sudo apt-get install auditd audispd-plugins # Debian/Ubuntu
sudo yum install auditd audispd-plugins # CentOS/RedHat

  • 配置审计规则：
    使用auditctl命令添加规则，例如，监控所有用户的sudo命令：

    sudo auditctl -w /usr/bin/sudo -p x -k sudo_rule

    这里-w指定要监控的文件或目录，-p x表示监控所有执行权限，-k用于为规则命名。

  • 查看审计日志：
    审计日志通常存储在/var/log/audit/audit.log。可以使用ausearch工具来搜索和分析日志：

    sudo ausearch -k sudo_rule
2. 查看命令历史记录

  • 查看历史命令：

    history

    或者查看历史记录文件：

    cat ~/.bash_history

  • 配置历史记录：
    可以编辑用户的.bashrc或.bash_profile文件来更改历史记录的行为，例如，增加历史记录的大小或自动记录命令。

3. 监控进程

  • 实时监控进程：

    top

    或者使用htop，如果已安装：

    htop

  • 过滤特定用户的进程：

    ps -u username
4. 分析日志文件
  • 查看认证日志：
    cat /var/log/auth.log
    或者使用less或tail进行分页查看。
5. 使用strace跟踪系统调用
  • 监控特定进程：
    strace -p pid
    其中pid是要监控的进程ID。
6. 监控文件系统事件
  • 监控特定目录：
    inotifywait -m -r /path/to/directory
    -m表示监控模式，-r表示递归监控。

Linux执行命令监控是一个涉及多个工具和机制的复杂过程。通过合理配置和使用这些工具，系统管理员可以有效地监控和记录用户的行为，从而提高系统的安全性和可审计性。需要注意的是，监控活动应当遵守相关的隐私和法律规定，确保在合法和道德的框架内进行。

0x01 总体架构

首先sys_execve监控模块，需要替换原有的execve系统调用。在执行命令时，首先会进入监控函数，将日志通过NetLink发送到用户态分析程序（如想在此处进行命令拦截，修改代码后也是可以实现的），然后继续执行系统原生的execve函数。

在这里插入图片描述

0x02 获取sys_call_table地址

获取sys_call_table的数组地址，可以通过/boot目录下的System.map文件中查找。

命令如下：
cat /boot/System.map-uname-r| grep sys_call_table
这种方式比较麻烦，在每次insmod内核模块的时候，需要将获取到的地址通过内核模块传参的方式传入。而且System.map并不是每个系统都有的，删除System.map对于系统运行无影响。

我们通过假设加偏移的方法获取到sys_call_table地址，首先假设sys_call_tale地址为sys_close，然后判断sys_call_table[__NR_close]是否等于sys_close，如果不等于则将刚才的sys_call_table偏移sizeof(void *)这么多字节，直到满足之前的判断条件，则说明找到正确的sys_call_table的地址了。

代码如下：

unsigned long **find_sys_call_table(void) {unsigned long ptr;unsigned long *p;pr_err("Start foundsys_call_table.\n");for (ptr = (unsignedlong)sys_close;ptr < (unsignedlong)&loops_per_jiffy;ptr += sizeof(void*)) {p = (unsigned long*)ptr;if (p[__NR_close] ==(unsigned long)sys_close) {pr_err("Foundthe sys_call_table!!! __NR_close[%d] sys_close[%lx]\n""__NR_execve[%d] sct[__NR_execve][0x%lx]\n",__NR_close,(unsigned long)sys_close,__NR_execve,p[__NR_execve]);return (unsignedlong **)p;}  }  return NULL;
}

0x03 修改__NR_execve地址

即使获取到了sys_call_table也无法修改其中的值，因为sys_call_table是一个const类型，在修改时会报错。因此需要将寄存器cr0中的写保护位关掉，wp写保护的对应的bit位为0x00010000。

代码如下：

unsigned long original_cr0;
original_cr0 = read_cr0();
write_cr0(original_cr0 & ~0x00010000);  #解除写保护
orig_stub_execve = (void *)(sys_call_table_ptr[__NR_execve]);
sys_call_table_ptr[__NR_execve]= (void *)monitor_stub_execve_hook;
write_cr0(original_cr0);        #加上写保护

在修改sys_call_hook[__NR_execve]中的地址时，不只是保存原始的execve的地址，同时把所有原始的系统调用全部保存下载。

void *orig_sys_call_table [NR_syscalls];
for(i = 0; i < NR_syscalls - 1; i ++) {orig_sys_call_table[i] =sys_call_table_ptr[i];
}

0x04 Execve进行栈平衡

除了execve之外的其他系统调用，基本只要自定义函数例如：my_sys_write函数，在此函数中预先执行我们的逻辑，然后再执行orig_sys_write函数，参数原模原样传入即可。但是execve不能模仿上面的写法，用以上的方法可能会导致Kernel Panic。
需要进行一下栈平衡，操作如下：

  1. 定义替换原始execve函数的函数monitor_stub_execve_hook
.text
.global monitor_stub_execve_hook
monitor_stub_execve_hook:
  1. 在执行execve监控函数之前，将原始的寄存器进行入栈操作：
pushq   %rbx
pushq   %rdi
pushq   %rsi
pushq   %rdx
pushq   %rcx
pushq   %rax
pushq   %r8
pushq   %r9
pushq   %r10
pushq   %r11

  1. 执行监控函数并Netlink上报操作：
    call monitor_execve_hook

  2. 入栈的寄存器值进行出栈操作

pop     %r11
pop     %r10
pop     %r9
pop     %r8
pop     %rax
pop     %rcx
pop     %rdx
pop     %rsi
pop     %rdi
pushq   %rbx
  1. 执行系统的execve函数
    jmp *orig_sys_call_table(, %rax, 8)

0x05 执行命令信息获取

监控执行命令，如果用户态使用的是相对路径执行，此模块也需要获取出全路径。通过getname()函数获取执行文件名，通过open_exec()和d_path()获取出执行文件全路径。通过current结构体变量获取进程pid，父进程名，ppid等信息。同时也获取运行时的环境变量中PWD，LOGIN相关的值。
最终将获取到的数据组装成字符串，用ascii码值为0x1作为分隔符，通过netlink_broadcast()发送到到用户态分析程序处理。

0x06 监控效果

在加载内核模块，在用户态执行netlink消息接收程序。然后使用相对路径执行命令./t my name is xxxx，然后查看用户态测试程序获取的数据。

在这里插入图片描述
在这里插入图片描述

0x07 版本支持及代码

支持内核版本：2.6.32, >=3.10.0
源代码路径：https://github.com/ysrc/yulong-hids/tree/master/syscall_hook

在Linux系统中，有多种工具可以用来监控执行命令，这些工具可以帮助系统管理员跟踪用户行为、审计系统操作或进行安全分析。以下是20个用于监控Linux执行命令的工具，以及它们的访问链接：

  1. auditd - Linux审计守护进程

    • 访问链接: https://www.linux-audit.com/

  2. syslog-ng - 灵活的日志管理工具

    • 访问链接: https://www.syslog-ng.com/

  3. rsyslog - 用于日志处理的系统服务

    • 访问链接: http://www.rsyslog.com/

  4. logrotate - 管理日志文件的轮换、压缩和删除

    • 访问链接: https://github.com/logrotate/logrotate

  5. logwatch - 监视系统日志并生成报告

    • 访问链接: https://sourceforge.net/projects/logwatch/

  6. Swatch - 监视系统日志文件的变化

    • 访问链接: http://swatch.sourceforge.net/

  7. Glog - C++日志库，支持日志监控

    • 访问链接: https://github.com/google/glog

  8. Logstash - 收集、解析和丰富日志数据

    • 访问链接: https://www.elastic.co/de/products/logstash

  9. Filebeat - 轻量级日志文件收集器

    • 访问链接: https://www.elastic.co/de/products/beats/filebeat

  10. GoAccess - 实时日志分析器和交云式查看器

    • 访问链接: https://goaccess.io/

  11. Graylog - 强大的日志管理平台

    • 访问链接: https://www.graylog.org/

  12. Fluentd - 开源数据收集器

    • 访问链接: https://www.fluentd.org/

  13. Prometheus - 监控系统和应用程序的时间序列数据库

    • 访问链接: https://prometheus.io/

  14. Netdata - 性能监控和可视化工具

    • 访问链接: https://www.netdata.cloud/

  15. Zabbix - 企业级监控解决方案

    • 访问链接: https://www.zabbix.com/

  16. Nagios - 监控系统、网络和基础设施

    • 访问链接: https://www.nagios.org/

  17. Icinga - 监控系统，Nagios的分支

    • 访问链接: https://www.icinga.com/

  18. Puppet - 配置管理平台，可以用于监控配置变更

    • 访问链接: https://puppet.com/

  19. Chef - 自动化平台，用于管理服务器和应用程序

    • 访问链接: https://www.chef.io/

  20. Ansible - 自动化工具，可以用于监控和执行任务

    • 访问链接: https://www.ansible.com/

请注意，上述工具的使用应遵守法律法规，并在获得授权的情况下进行。这些工具主要用于教育和安全研究目的，以提高系统的安全性。在使用这些工具时，应确保不侵犯他人的隐私和权益。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/307480.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

别等Sora了！字节跳动旗下国产AI工具Dreamina，AI视频生成虽不完美，但够惊艳！

别等Sora了！字节跳动旗下国产AI工具Dreamina，AI视频生成虽不完美，但够惊艳！

别等 Sora 了&#xff0c;试试字节跳动的 Dreamina&#xff01;Dreamina 是剪映旗下的一个 AI 创作平台&#xff0c;目前支持「文生图」、「智能画布」和「视频生成」功能。 Dreamina 官网&#xff1a;https://dreamina.jianying.com/ai-tool/home 之前对 Dreamina 的「文生图…
阅读更多...
暴力枚举法

暴力枚举法

虽然暴力枚举法有时候效率低&#xff0c;时间复杂度高&#xff0c;但是在面对小规模数据集的时候&#xff0c;暴力枚举法往往是很好的思维利器。 B: 01 串的熵&#xff08;5分&#xff09; 问题描述 #include <iostream> #include <cmath> #include <algorithm…
阅读更多...
【C++算法模板】数论：欧拉筛，线性查找质数的算法

【C++算法模板】数论：欧拉筛，线性查找质数的算法

文章目录 1&#xff09;传统找质数的方法&#xff08;优化筛选次数&#xff09;2&#xff09;欧拉筛 1&#xff09;传统找质数的方法&#xff08;优化筛选次数&#xff09; bool isPrime(int num) {for(int i2;i<sqrt(num)) {if(num%i0)return false;}return true; }如果要…
阅读更多...
Training - 使用 WandB 配置 可视化 模型训练参数

Training - 使用 WandB 配置 可视化 模型训练参数

欢迎关注我的CSDN&#xff1a;https://spike.blog.csdn.net/ 本文地址&#xff1a;https://blog.csdn.net/caroline_wendy/article/details/137529140 WandB (Weights&Biases) 是轻量级的在线模型训练可视化工具&#xff0c;类似于 TensorBoard&#xff0c;可以帮助用户跟踪…
阅读更多...
统信UOS（Linux）安装nvm node管理工具

统信UOS（Linux）安装nvm node管理工具

整篇看完再操作&#xff0c;有坑&#xff01;&#xff01; 官网 nvm官网 按照官网方式安装&#xff0c;一直报 错 经过不断研究&#xff0c;正确步骤如下 1、下载安装包 可能因为网络安全不能访问github&#xff0c;我是链接热点下载的 wget https://github.com/nvm-sh/…
阅读更多...
three.js跟着教程实现VR效果（四）

three.js跟着教程实现VR效果（四）

参照教程&#xff1a;https://juejin.cn/post/6973865268426571784&#xff08;作者&#xff1a;大帅老猿&#xff09; 1.WebGD3D引擎 用three.js &#xff08;1&#xff09;使用立方体6面图 camera放到 立方体的中间 like “回” 让贴图向内翻转 &#xff08;2&#xff09;使…
阅读更多...
界面控件DevExpress WinForms/WPF v23.2 - 富文本编辑器支持内容控件

界面控件DevExpress WinForms/WPF v23.2 - 富文本编辑器支持内容控件

众所周知内容控件是交互式UI元素(文本字段、下拉列表、日期选择器)&#xff0c;用于在屏幕上输入和管理信息。内容控件通常在模板/表单中使用&#xff0c;以标准化文档格式和简化数据输入。DevExpress文字处理产品库&#xff08;Word Processing Document API、WinForm和WPF富文…
阅读更多...
科研学习|可视化——Origin绘制相关性系数矩阵

科研学习|可视化——Origin绘制相关性系数矩阵

一、Origin软件版本 Origin2021版本 二、插件下载地址 CorrelationPlot.opx资源-CSDN文库 三、插件安装步骤 从上述链接下载插件将插件解压缩&#xff08;最好是解压缩到orgin的安装目录&#xff09;用origin打开插件&#xff08;或者打开origin&#xff0c;将插件拖拽到origin…
阅读更多...
【一招鲜】-阿里云服务器安全更新 RHSA-2021:3889: java-1.8.0-openjdk 安全和BUG修复更新

【一招鲜】-阿里云服务器安全更新 RHSA-2021:3889: java-1.8.0-openjdk 安全和BUG修复更新

形似这种&#xff1a; RHSA-2021:3889: java-1.8.0-openjdk 安全和BUG修复更新 #1 查看可更新的软件java yum list updates |grep java #2 如果有可更新软件&#xff0c;则进行更新 yum -y update java-1.8.0-openjdk.x86_64 形似这种&#xff1a; RHSA-2021:4782: openssh …
阅读更多...
C++设计模式：原型模式（八）

C++设计模式：原型模式（八）

1、定义与动机 定义&#xff1a;使用原型实例指定创建对象的种类&#xff0c;然后通过拷贝这些原型来创建新的对象。 动机&#xff1a; 在软件系统中&#xff0c;经常面临着“某些结构复杂的对象”的创建工作&#xff1b;由于需求的变化&#xff0c;这些对象经常面临着剧烈的变…
阅读更多...
CSS基础+基本选择器和复合选择器（如果想知道CSS的基础+基本选择器和复合选择器知识点，那么只看这一篇就足够了！）

CSS基础+基本选择器和复合选择器（如果想知道CSS的基础+基本选择器和复合选择器知识点，那么只看这一篇就足够了！）

前言&#xff1a;在我们学习完了html之后&#xff0c;我们就要开始学习三大件中的第二件—CSS&#xff0c;CSS 可以控制多重网页的样式和布局&#xff0c;也就是将我们写好的html代码加上一层华丽的衣裳&#xff0c;使网页变得更加精美。 ✨✨✨这里是秋刀鱼不做梦的BLOG ✨✨✨…
阅读更多...
实时多目图像拼接算法

实时多目图像拼接算法

实时多目图像拼接算法可以用于将多个视角的图像拼接成一个全景图像或者视频。 以下是一种常见的实时多目图像拼接算法的基本实现步骤： 特征提取与匹配： 对于每个输入图像，使用特征提取算法（如SIFT、ORB等）来提取图像中的特征点。然后，使用特征描述符（如ORB描述符）来描述…
阅读更多...
Docker 学习笔记（六）：挑战容器数据卷技术一文通，实战多个 MySQL 数据同步，能懂会用，初学必备

Docker 学习笔记（六）：挑战容器数据卷技术一文通，实战多个 MySQL 数据同步，能懂会用，初学必备

一、前言 记录时间 [2024-4-11] 系列文章简摘&#xff1a; Docker学习笔记&#xff08;二&#xff09;&#xff1a;在Linux中部署Docker&#xff08;Centos7下安装docker、环境配置&#xff0c;以及镜像简单使用&#xff09; Docker 学习笔记&#xff08;三&#xff09;&#x…
阅读更多...
vue3 +Taro 页面实现scroll-view 分页功能

vue3 +Taro 页面实现scroll-view 分页功能

需求 现在分页列表 后端只给你一个分页的数据列表 没有总页数 没有当前的分页 页数 只有这么一个list 、、、 如何去分页 我这使用的是scroll-view 组件 滑动到底部的事件 根据你当前设定的每页的数据数量和后端返回给你的数据列表数量 当某一次分页 两个数量不相等了以后 就…
阅读更多...
1.汉诺塔问题

1.汉诺塔问题

C力扣 汉诺塔 class Solution { public:void hanota(vector<int>& a, vector<int>& b, vector<int>& c) {dfs(a,b,c,a.size());}void dfs(vector<int>& a, vector<int>& b, vector<int>& c,int n){if(n1){c.push…
阅读更多...
卫星图像10个开源数据集资源汇总

卫星图像10个开源数据集资源汇总

文章目录 1、UC Merced Land-Use 2、Indian Pines 3、KSC 4、Washington DC 5、BigEarthNet 6、水体卫星图像的图像 7、城市航拍图像分割数据集 8、游泳池和汽车卫星图像检测 9、人工月球景观数据集 10、马萨诸塞州道路数据集 1、UC Merced Land-Use 数据集下载地址&am…
阅读更多...
基于分布式鲁棒性的多微网电氢混合储能容量优化配置——1

基于分布式鲁棒性的多微网电氢混合储能容量优化配置——1

Optimal configuration of multi microgrid electric hydrogen hybrid energy storage capacity based on distributed robustness A B S T R A C T 储能与微电网相结合是解决分布式风能、太阳能资源不确定性、降低其对大电网安全稳定影响的重要技术路径。随着分布式风电和太阳…
阅读更多...
视频评论ID提取工具|视频关键词评论批量采集软件

视频评论ID提取工具|视频关键词评论批量采集软件

视频评论ID提取工具&#xff1a;批量抓取视频评论 视频评论ID提取工具是一款功能强大的软件&#xff0c;可以帮助您批量抓取视频视频下的评论信息。通过输入关键词和评论监控词&#xff0c;即可进行评论的抓取&#xff0c;并提供评论昵称、评论日期、评论内容、命中关键词以及所…
阅读更多...
公开课学习——JVM虚拟机面试核心点与性能优化点

公开课学习——JVM虚拟机面试核心点与性能优化点

文章目录 jdk的体系结构图Java语言的跨平台的特性&#xff0c;怎么实现的&#xff1f;jvm内部组成呢&#xff1f;pc的值怎么变得&#xff1f;main方法的栈帧有一点点区别&#xff0c;Math()是new出来的&#xff0c;放在堆区&#xff0c;这个堆区的math和我们栈帧中的局部变量表…
阅读更多...
lv_micropython for ESP32-C3

lv_micropython for ESP32-C3

一、开发平台说明 硬件&#xff1a;立创实战派ESP32-C3开发板。处理器ESP32-C3&#xff08;内置400KB SRAM&#xff09;&#xff0c;无内置FLASH&#xff0c;2.0寸液晶&#xff08;液晶驱动IC:ST7789&#xff0c;触屏驱动IC:FT6336&#xff09;&#xff0c;下载口UART0。 ESP…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023