solaris中的系统log日志原理分析

unix系统的日志其实是非常复杂和强大的，特别是solaris系统，因为源码的不公开，所以被蒙上了一层神秘的面纱，我研究分析了一阵子得出的结论和大家分享，我的能力有限，还望大家多多指教。
　　
　　负责日志记帐的有两个守护进程：klogd,syslogd，我着重讲这两个进程，当然还有进程记帐进程，就不多介绍了，呵呵，因为基本上所有的系统动作都会被这两个进程监视并纪录，大家如果要编写一些系统程序的话，也会用到syslog这个接口的，呵呵，klogd主要纪录一些系统内核的动作，对攻击者最受影响的是syslogd这个进程.它可以接收访问系统的日志信息并且根据/etc/syslog.conf配置文件中的指令处理
　　这些信息。因此，任何希望生成日志信息的程序都可向syslog接口呼叫来生成改信息。大部分内部系统工具如邮件和打印系统都是如此生成信息的，许多新增的程序如TCP_wrappers和SSH也是如此工作的。讲到这里，大家有点概念了吧？呵呵
　　/etc/syslog.conf的格式比较复杂，大家可以参考一下有关书籍，主要是如下语句形式：
　　facility.level　 action
　　facility代表各种服务，level代表syslog的认证级别，action代表的是针对前面信息的处理。大家可以注意action字段，有时候会把信息发送到另外一台机器而不是熟悉的/var/adm/messages的，这下应该知道这个文件的重要性了吧？如果真把日志发到另外一台机器的话，就想办法把那台机器dos掉了，不是它死你是你亡啊，呵呵，有时会发送到/dev/console,/dev/tty1或/dev/lp1等等这样的设备，就是发送到终端啊，呵呵，想想如果那终端作的是系统管理员，你不是很惨？
　　
　　现在大家应该知道不是删删/var/adm/messages就了事的吧?呵呵
　　
　　好，下面介绍一下solaris的另外一个记帐，就是wtmp和utmp，说明一下大家常见到的wtmpx和utmpx是wtmp和utmp的扩展罢了，大家可以参看wtmp.h，utmp.h里的定义的数据结构，会有写概念，呵呵，在solaris里是通过utmpd，wtmpd这两个进程来进行记帐的，然后通过utmppipe这个管道文件向/var/adm/utmpx这个文件写数据，当然utmpx这个文件不是象messages一样是文本形式的，它是二进制的，只有who,finger命令可以访问，呵呵，大家知道了吧？而last命令是访问wtmpx的。utmp是纪录用户的动态会话用的，而wtmp是纪录用户的登陆与推出的活动的，这就是区别，呵呵。写这篇
　　
　　文章只是要提醒大家不要随便删日志，那很傻的，呵呵，最好自己编写一些删日志的小工具，很容易，大家参考一下utmp这个数据结构就可以了，也可以用一个命令来删除messages中的纪录：
　　eagle~# more /var/adm/messages|grep -v 或 >/var/adm/messages
　　很简单不是么？呵呵，当然utmp,wtmp中的纪录就要用程序解决了，也有现成的程序比如：
　　
　　wtmpdump.c,marry.c,remove.c等等，呵呵都不错的，我主页上有下载，呵呵
　　attacker.qzone.com
　　
　　好了，就说这么多了，重申一句，我只是为了让大家进行爱国主义行动的时候注意以下善后的工作，呵呵其中牵涉到的只是非常多，我很多没有详细说明和讲解，希望大家重视日志，参考一下有关资料。