utmpdump двойного назначения

utmpdump двойного назначения

В дефолтных никсах мало форензик информации (vs win) и очень много полезных утилит. Например, есть «прекрасная» утилита, позволяющая дампить информацию с [ubw]tmp файлов в ASCII файлы, а также, дословно из мана:

…which can then be edited to remove bogus entries, and reintegrated using:
utmpdump -r < ascii_file > wtmp

Так что если в логи попал какой-то «кривой» айпишник, то нелегитимные «администраторы систем» могут его просто удалить, с чем мы и сталкивались на кейсах:

Дампинг:

utmpdump /var/log/wtmp

Через пайп грепаются строки с исключением в виде «кривого» айпишника и выхлоп в темпфайл:

| grep -v $EYE_PEE >/tmp/.wt 

Результат импортируется обратно:

&& utmpdump -r </tmp/.wt >/var/log/wtmp 

Затем удаляется темповый файл:

&& rm -f /tmp/.wt

Ну и конечно же, как написано в мане:

But be warned, utmpdump was written for debugging purposes only.

Детекты описаны уже очень давно, можно освежить их в памяти.

#tool #detect #hunt #nix #dfir
@ptescalator