Системы логов в UNIX'е появились с самого рождения. Нужна была система, которая бы оповещала администратора о прошедших событиях. В том числе и о событиях, связанных с безопасностью :).
Итак, тачка взломана, бэкдоры/rootkit'ы установлены, пора приниматься за третий шаг взлома - очистку логов. На мой взгляд, это самый ответственный процесс, так как на кону твоя задница aka свобода. Поэтому сейчас мы с тобой займемся выбором подходящего лог клинера...
utmp.c and logwedit.c
Команда who в *никсах позволяет узнать, кто в данный момент находится в системе, и инфа эта берется не откуда-нибудь, а из utmp. Наши две замечательные проги удаляют записи utmp. Компиляция стандартная.
Usage: utmp or .
stealth.c
Прячет тебя от who/rwho, finger. Но последние две службы редко где работают, а если работают, то я бы поставил под сомнение квалификацию админа :).
mme.c
Это прога модифит utmp, но не так, как ты думаешь. MakeME позволяет подставлять записи с другого логина вместо оригинальных. Теперь ты можешь заниматься хаком, а твой сосед судебными разбирательствами :). Компиляция стандартна.
Usage: mme или mme .
lastlog.c
Эта прога модифит lastlog для таких систем, как Ultrix и SunOS, что в наше время является почти экзотикой, но, может, кому-нибудь пригодится...
invisible.c
Модифит lastlog, utmp, wtmp. То есть такие команды, как lastlog, who, last. Прога вообще без опций. Компиляция стандартна.
cloak.c
Прога, написанная Michael S. Baldwin. Зачищает файлы utmp, wtmp, lastlog, acct (пути к ним можно заменить, как и во всех представленных программах). Компиляция стандартная (gcc cloak.c или gcc cloak.c -o cloak).
Usage: cloak
-l - login time
-u - username
-h - host
-p - programm
remove.c
Как утверждает автор - это универсальный чистильщик utmp/wtmp/lastlog. Так и есть :). Компиляция:
gcc -o remove remove.c -DGENERIC
Usage: remove .
-> # - удалить последние записи из utmp/wtmp
a - удалить все записи из utmp/wtmp
q - выход
Также автоматически модифится lastlog.
sysfog.c
Прога, которая посылает поддельные записи syslog'у. Компиляция стандартна.
Usage: sysfog
Вот коды сообщений:
LOG_EMERG 0
LOG_ALERT 1
LOG_CRIT 2
LOG_ERR 3
LOG_WARNING 4
LOG_NOTICE 5
LOG_INFO 6
LOG_DEBUG 7.
Wipe
Wipe - это средство удаления записи utmp/wtmp, lastlog и acct. Особое внимание в этой проге уделено разноплатформенности и сведению к минимуму несоответствия библиотек в разных системах и версиях.
