监视你的Solaris主机
2000-05-25 00:00:00·
yiming·不详
� 随着我国互联网产业不断升温，越来越多的网站为了提高网络性能采用了使用Unix系统的服务器，这其中，Solaris作为商业化程度较高的一种Unix操
作系统占据了恐怕半数以上还多的市场，纵观这些网站，防黑大多是借助防火 墙之类的外在解决方案，但它们毕竟只能完成一些特定的功能。其实，一个系
统管理员可以从软件上做很多安全工作，同时，几乎所有优秀的安全软件都是 free的。
对系统管理员来讲，当发现自己的系统有异常时，一般都会先用w或who， last等命令来看当前及近期除了自己之外的活动用户。当然，借助这些命令对
管理员有一定的帮助，但管理员应该记住：当你的系统表现有其它用户侵入迹象时，不要完全相信who，w， last等命令所告诉你的结果！也许此刻管理员
用who看到系统中只有他自己，但实际并不一定！入侵者使用诸如zap之类的软件来擦除当前活动用户是易如反掌的。你看不到他，但他存在！
另一方面，一个网络来自内部的攻击是极其难以预防的，当在主机上拥有一个合法账号的用户打算成为一个潜在的黑客时，管理员单纯凭借Solaris所提
供的相关命令是无法具体的掌握这个用户的活动细节的。对管理员而言，他所 能捕捉到的可疑用户的行为少的可怜。
在这个时候，管理员需要TTYwatcher。
什么是TTYwatcher，它的功能
TTYwatcher本身并不出名，但自从它诞生以来，就一直在亦正亦邪的系统 管理员手中流传，这个软件设计的目的是实时观察在管理员的Solaris系统上活
动的用户的行为。无论用户是来自本地还是来自远程登录， TTYwatcher都会 对他们实时跟踪监测，注意"跟踪"这个概念，它的意思是只要用户从管理员所
在主机出发，或只是路过管理员所在主机，无论用户登录到其它任何主机，用户的所有行为都会被跟踪纪录，直到用户中断连接。
目前的TTYwatcher有4项功能。
1：捕捉用户的行为， 捕捉用户在系统上所敲击的每一个键(现1.1b版本尚不能捕捉shift，control等特殊功能键)
2：中断用户连接，TTYwatcher可以强行中断用户的连接。
3：夺取用户控制权及交还用户控制权， TTYwatcher可以打断，交还用户的正常操作
4：向用户发送消息
TTYwatcher的安装
首先我们可以从可信站点下载这个软件，如 http://www.j et/CERT/Software/ttywatcher/，目前最高的版本是1.1b，下载下来
的是个gz格式的压缩包，我们假定系统已安装了gzip，gcc，make等必要工具， (如果系统尚未安装这些必备的编译工具，可在sunfreeware.com下载，这里就
不介绍了) 那么如下操作即可：
a：su ？root成为超级用户
b：gzip ？d ttywatcher-1.1beta1.tar.gz
c：tar xvf ttywatcher-1.1beta1.tar 生成TTYwatcher目录
d：进入TTYwatcher，执行make -f Makefile.Solaris
e：进入TTYwatcher的子目录twtch，执行make -f Makefile.Solaris
f：上一步编译完成后，执行./install_driver，通过这个程序，将tty的 动安装入系统内核中。至此TTYwatcher安装完毕。
为了顺利执行TTYwatcher，我们还需要设置LD_LIBRARY的路径，假如在c shell环境下，执行setenv
LD_LIBRARY_PATH /usr/openwin/lib即可。如果是在sh 下，则分步执行 LD_LIBRARY_PATH=/usr/openwin/lib
export LD_LIBRARY_PATH即可，为方便使用，建议编辑相应.cshrc等变量文件， 将上述设置加入。
TTYwatcher的使用
TTYwatcher的使用是很简单的，我们可以先看一看这个软件的执行界面
这个界面很简洁，我们可以很容易的的看到目前有三个用户在自己的主机上， 分别是：root， yiming， cys，他们是活动的，在这个界面右角，有一个kill
all sessions，点击它可以将所有用户从系统中杀掉，我们现在不需要这个，还是来 看看用户yiming在做什么吧，点击用户yiming，会弹出如下图所示界面：
我们一项一项的来说明，占这个界面最大部分的是一个白底的屏幕，从上 图很容易的可以看出来，这里面的内容是用户yiming所看到的界面的一个"复
制"，通过这个界面，管理员可以轻松的看到用户yiming的所有操作，及操作 产生的结果，而且屏幕的内容是实时刷新的。我们可以看到这个用户当前正在
做df ？ k 命令。在这个屏幕的下方，可以看到用~符号分隔的命令，它们是被监测用户所执行的命令，在这个例子中，我们可以注意到有如下三个分隔段，
telnet secu.Unix.com， yiming， gogogo，相信聪明的读者可以猜出来，用户先 是远程登录另外一台主机secu.Unix.com，然后他输入了用户名yiming，紧跟着
是这个用户的密码gogogo！，我们得到了这个用户在另外一台主机上的密码！
在命令行之下：我们可以看到user messages：这里是向用户发消息的地方，在这里填写向用户所发的消息，再点击位于界面右侧的send
message按钮，用 户就会在用户执行命令的当前位置看到来自管理员的消息。
在user messages下，有save session和filename组合，利用它们可以实现对被监视用户所做的纪录，方便日后调用，在filename后输入预保存的文件名，
点save session后的yes即可。
除此之外，还用两项功能，在界面右侧的上方Terminate键可以强行终止用户的telnet，把正在工作的用户踢掉。
界面右侧下方的Users TTY的Stolen可以切断系统对用户的命令响应， Normal则可以恢复用户对系统的控制。
以上是对TTYwatcher使用的一个简单介绍，有兴趣的管理员可以做一个尝试，你会发现，它的使用比你想象的简单。?
TTYwatcher也有自身的缺陷，如监视远程用户时，只能监视telnet，无法对远程ftp，rlogin。rsh等监测。而rlogin，rsh等亦是入侵者常用的手段，这时可
以借助ethereal之类的网络分析软件了，我们以后接着介绍。
|
.