Ders 1.62: Kabuk geçmişi ve araç izleri

Etkileşimli çalışma gizli dosyalarda iz bırakır: kabuğun geçmişi, vim'in dosya ve komut kaydı, wget'in HTTPS sunucuları hafızası. Doğru temel ayarlarla geçmiş her komut için bir zaman damgası taşır ve her birinden sonra yazılır; böylece oturumun ortasında geçmişi kapatan bir saldırgan bile ilk kısmı geride bırakır. Laboratuvarda ele geçirilmiş Git sunucusunda root'un ev dizinini okuyor, epoch zaman damgalarını zamana çeviriyor ve saldırganın oturumunun her adımını en az iki bağımsız izle doğruluyorsun.

18 dk

Bu derste öğreneceklerin

Bir ev dizinindeki iz dosyalarını listelemek
HISTTIMEFORMAT ve PROMPT_COMMAND='history -a' ayarlarını açıklamak
Geçmiş zaman damgalarını awk strftime ve date -d @ ile dönüştürmek
vim ve wget izlerini okumak
Her bulguyu iki kez doğrulamak

Temel terimler

İz (artifact): Bir programın yan etki olarak bıraktığı, kanıt olarak işe yarayan veri.
HISTTIMEFORMAT: Ayarlandığında bash geçmiş dosyasına her komuttan önce '#EPOCH' yazar.
history -a: Oturumun yeni komutlarını çıkışta değil şimdi geçmiş dosyasına ekler.
Epoch zamanı: 1970-01-01 00.00 UTC'den bu yana geçen saniye.
Doğrulama: Bir bulguyu bağımsız ikinci bir kaynaktan doğrulamak.
Geçmişi bozmak: unset HISTFILE, HISTSIZE=0, history -c: komutları bash geçmişinden gizlemek.

← Çöken bir programı strace ile izlemek · Tüm dersler · Kısa ömürlü süreçleri eBPF ile yakalamak →