Linux系统被入侵后使用lsof命令恢复被删除日志的
网络知识 2023-02-09 13:14www.1681989.comseo网站推广
Lux系统是服务器最常见的操作系统，也面临着非常多的安全事件，相较Wdows操作系统，Lux采用了明确的访问权限控制和全面的管理工具，具有非常高的安全性和稳定性。Lux系统被入侵后，攻击者为了掩盖踪迹，经常会清除系统中的各种日志，包括Web的aess和error日志、last日志、message日志、secure日志等，给我们后期应急响应和取证分析带来了非常大的阻力。所以，恢复被清除的日志是非常重要的取证和分析环节，一下是使用lsof命令恢复日志文件的案例，适用于常见的日志恢复工作。
一、前提条件
不能关闭服务器，不能关闭相关服务或进程，如恢复apache的访问日志 /var/log/httpd/aess_log ，不能关闭或者重启服务器系统，也不能重启httpd服务。
二、实施过程
1. 找到相关进程pid
复制代码
[root@localhost ~]# lsof | grep aess_log
httpd 1392 root 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7330 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7331 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7332 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7333 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7334 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7335 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7336 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
httpd 7337 apache 7w REG 253,0 0 263802 /var/log/httpd/aess_log
这里我们重点关注一下第一、第二、第三、第四列，分别表示进程名、pid、用户、文件描述符，我们看到这里的文件描述符是7w，所以我们在下一步操作过程要记住这个7.
2. 找回日志
复制代码