Log cleaners для UNIX

Xakep, номер #038, стр. 038-049-2

marry.c

Это достаточно мощный, поддерживающий множество опций Log cleaner. Стирает записи в wtmp/utpm, lastlog, acct/pacct. Компиляция стандартна.

Usage: ./marry [-aetsuScDn] [-i src] [-o obj] [-d dump] [-p pat] [-v pat] [-m [WLA]] [-E editor] [-h program] [-b backup ]

P.S. Также хочу сказать, что в комплекте со многими rootkit'ами поставляются и лог клинеры.

Но все это бессильно...

Как ты понял, лог клинеры стирают всякие wtmp/utmp, lastlog, а иногда и acct/pacct. Но что делать, если в системе работает не лох, а действительно хороший админ? Что, если у него установлены дополнительные логеры, не входящие в стандартную поставку UNIX и предлагаемые сторонними распространителями? Например, SWATCH, Netlog, LogSurfer и т.д. Понятное дело, что для всех этих прог лог клинеры никто писать не будет. А что, если логи еще и перенаправляются на другой хост и автоматически копируется, например, на стример? Согласен, возможно, я преувеличиваю, но ведь такое возможно! Даже syslog позволяет передавать данные удаленному узлу (для этого вместо имени файла, например, /var/log/wtmp, нужно указать *hostname, ну а на удаленном компе открыть порт syslogd). И я уже не говорю о таких средствах, как MOM и подобные!

А что если админ в syslog.conf поменял месторасположение utmp/wtmp/lastlog? Придется изменять исходники лог клинера...

Советую тебе подумать над этими риторическими вопросами :). Все зависит лишь от твоей квалификации. Тем более, очистка логов - это не единственная проблема на взломанной станции...