linux-sshd登入暴力破解日志分析

# linux-sshd登入暴力破解日志

## 目录

[TOC]

## 暴力破解概述

### 普通的暴力破解

攻击者会从弱密码，或者将所有字母数字和符号排列顺序进行尝试登入，暴力破解就是不断尝试直到登入成功。

### 密码喷洒Password Spraying攻击

攻击者首先会从他们已有的密码列表开始尝试，并以最脆弱的密码开始，不断尝试直到登入成功和暴力破解是不同的概念

## 一、查看linux日志

### 1.1首先要做的，先分析明白我们经历了什么。而这一切都在日志里。

Linux系统的日志，都保存在/var/log目录下：
 /var/log/boot.log：记录了系统在开机引导过程中（开机自检过程显示在屏幕上）发生的事件
 /var/log/lastlog：记录最后一次用户成功登陆的时间、登陆IP等信息
 /var/log/messages：记录Linux操作系统常见的系统和服务错误信息
 /var/log/secure：Linux系统安全日志，记录用户和工作组变化情况、用户登陆认证情况
 **/var/log/btmp：记录系统登陆失败的用户、时间以及远程IP地址**
 /var/log/syslog：只记录警告信息，常常是系统出问题的信息，使用lastlog查看
 /var/log/wtmp：该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件，使用last命令查看
 /var/run/utmp：该日志文件记录有关当前登录的每个用户的信息。如 who、w、users、finger等就需要访问这个文件
 /var/log/syslog或/var/log/messages 存储所有的全局系统活动数据，包括开机信息。基于 Debian 的系统如  Ubuntu 在 /var/log/syslog中存储，而基于RedHat的系统如RHEL或CentOS 则在/var/log/messages 中存储。
 /var/log/auth.log或/var/log/secure  存储来自可插拔认证模块(PAM)的日志，包括成功的登录，失败的登录尝试和认证方式。Ubuntu 和 Debian  在/var/log/auth.log 中存储认证信息，而RHEL或CentOS 则在/var/log/secure 中存储。

**我们需要的是btmp日志**

### 1.2查看btmp日志方法

btmp日志使用cat或者vim打开是二进制文件，因为这些日志中保存的是系统的重要登录痕迹。所以需要一些特殊的方法打开

具体查看日志方法[点击此处](https://www.caozhexxgweb.cn/?id=91)

## 二、提取日志

如果需要统计同一ip登入失败的次数可以使用以下三种脚本

> `cat /var/log/secure | awk '/Failed/{print $(NF-3)}' | sort | uniq -c | awk '{print $2" = "$1;}'`
>
> `lastb | awk '{ print $3}' | sort | uniq -c | sort -n`
>
> `lastb | awk '/\(/{ print $3}' | sort | uniq -c | sort -n`
![](/zb_users/upload/2020/09/202009141529009930568.png)
先模拟一场暴力破解攻击

随后查看一下日志

```bash
[root@localhost log]# cat /var/log/secure | awk '/Failed/{print $(NF-3)}' | sort | uniq -c | awk '{print $2" = "$1;}'
10.10.10.153 = 102
[root@localhost log]# lastb | awk '{ print $3}' | sort | uniq -c | sort -n
      1 
      2 Fri
    170 10.10.10.153
[root@localhost log]# lastb | awk '/\(/{ print $3}' | sort | uniq -c | sort -n
      1 Fri
    170 10.10.10.153
[root@localhost log]# 
```

发现10.10.10.153登入失败153次