Linux日志审计 常用命令 find、grep 、egrep、awk、sed Linux 中常见日志以及位置 位置 名称 /var/log/cron 记录了系统定时任务相关的日志 /var/log/auth.log...记录验证和授权方面的信息 /var/log/secure 同上，只是系统不同 /var/log/btmp 登录失败记录 使用lastb命令查看 /var/log/wtmp 登录失成功记录 使用last...命令查看 /var/log/lastlog 最后一次登录 使用lastlog命令查看 /var/run/utmp 使用 w、who、users 命令查看 /var/log/auth.log、/var/...log/secure记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中 常用审计命令 //定位多少...有哪些 grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more //登录成功的日志
本篇文章Fayson主要介绍如何在不重启Yarn服务的情况下为ResourceManager、JobHistory等服务启用DEBUG级别日志记录。...内容概述 1.启用Yarn的DEBUG日志记录 2.总结 测试环境 1.CM和CDH版本为5.15 2.启用Resource Manager服务调试 ---- 1.在浏览器输入Resource Manager...2.获取特定类的日志记录级别 ?...3.更改特定类的日志记录，示例如下： “org.apache.hadoop.yarn.server.resourcemanager.scheduler.fair.FairScheduler” ?...4.查看Resource Manager服务的日志 ? 3.总结 ---- 1.由于DEBUG级别日志会产生大量的日志记录，请考虑需要哪些日志信息，仅对相应的类进行日志记录级别调整。
前言 我们每次敲打linux命令的时候，有时候想用之前用过的命令，一般情况下，我们都会按↑↓箭头来寻找历史的命令记录，那如果我想用1天前执行的某条命令，难道还要按↑100次？...显示这样是不现实的，我们可以使用history命令即可 实际过程中，history还是很有用的 查看历史命令执行记录(history) history 查看命令tail 的历史执行记录 history...| grep tail 执行历史记录中，序号为1000的命令 执行上一条命令（直接输入两个感叹号） !!...查找最后5条历史记录（两种方式） history 5 history | tail -5 清除历史记录 history -c 将当前所有历史记录写入历史文件中，默认写入 ~/.bash_history
执行几个包含关键字的命令。...在本文中，我们假设您已经配置了 DNS 解析，并且把日志转发到你的日志管理或者 SIEM 解决方案上（这不属于本文内容）。...*accountants)' 用例 3：DNS TXT 记录和 RRSIG 记录数据渗漏 DNS TXT 记录和 RPSIG 记录可能会和一些数据渗漏和 DNS 隧道活动，更多DNS查询类型可以在这个网址查看...在这篇文章中，我们将介绍这种技术遗留下来的几种痕迹，威胁猎人可以利用他去发现这个简单而有效的“交互式命令和控制”的过程。...在受害者机器 pc02 上攻击者将执行如下命令。
威胁狩猎#1 寻找 RDP 劫持痕迹 远程桌面是攻击者最喜欢的访问方式之一，因为它允许仅使用鼠标和键盘来发现系统以及相邻主机（更少的足迹，不需要特殊的命令与实用程序）。...此外，很少有公司可以真正区分合法和可疑的 RDP 活动，特别是如果它们依赖事件日志 4624/4625（仅在目标主机上记录日志而非在 DC 上，因此可能没有从所有工作站和服务器收集日志 - >没有生成警报...我们建议在所有 Windows 网络文件共享以及所有域控制器上启用安全事件日志 5145，它将对我们检测其他侦察及横向移动技术有很大帮助[ 非常有用 ]。...PsExec 最强大的用途包括在远程系统上启动交互式命令提示和 IpConfig 等远程启用工具（查看原本无法获取的有关远程系统的信息）。...IBM Qradar hunting AQL: select username, "SharePath", "TargetName" from events where eventid=5145 and
工作中，需要把用户执行的每一个命令都记录下来，并发送到日志服务器的需求，为此我做了一个简单的解决方案。...这个方案会在每个用户退出登录时把用户所执行的每一个命令都发送给日志守护进程rsyslogd,你也可通过配置“/etc/rsyslog.conf”进一步将日志发送给日志服务器 第一种方法 # vi /etc..." #把格式化的history记录到文件里 history > $tmpfile #读取文件，一行一行把文件内容发送到给syslogd。...#不要试图用"history | logger"或"logger -f $tmpfile"来替代下面的代码，否则将只能记录前200行。...不能实时记录命令并发送log 2. 要记录终端桌面下的命令需要重启。 ＝＝＝＝＝＝＝＝＝＝ ?
路径链接如下 /.bashrc 个人配置记录 ? /.ssh/authorized_keys 公钥 ? 更有意思的是泄露了站点服务器所有的操作记录 /.bash_history ?
，而每个月的天数不一定相等，所以就会出现第三列记录日期。...一般我们实验记录的数据格式（大多习惯用宽表格记录数据）和我们后期用R绘图所用到的数据格式往往不一样，例如ggplot2、plyr，还有大多数建模函数lm()、glm()、gam()等经常会使用长表格数据来作图...，这时用reshape2包来转换实验记录的宽表格数据会十分方便。...aql <- melt(airquality, id.vars = c("month", "day")) head(aql) ## month day variable value ## 1...31 31 31 31 ## 4 8 31 31 31 31 ## 5 9 30 30 30 30 当我们在R运行上面的命令时
攻击者可能使用 DDE 执行任意命令。微软 Office 文档可能直接或间接的通过植入文件被恶意嵌入 DDE 命令，并通过钓鱼或托管网站内容的方式执行命令，从而避免了 VB 宏的使用。...DDE 也能被一个攻陷了机器却无法直接使用命令行执行命令的攻击者所利用。...我们发现 office 程序确实会将之前的两个安全警告信息记录在事件日志文件中： %SystemRoot%\System32\Winevt\Logs\OAlerts.evtx (EventID=300)...此外，根据用户/机器活动，你还可能发现三个月前的警告（不包含过多内容的事件日志文件），这在取证和寻找此前的 DDE 感染中非常实用。...你需要在所有域控制器（任何用户枚举行为的预期目标）上开启这个事件记录。 注意：这种方法也能检测到使用其他其他工具进行的用户枚举行为。
，而每个月的天数不一定相等，所以就会出现第三列记录日期。...一般我们实验记录的数据格式（大多习惯用宽表格记录数据）和我们后期用R绘图所用到的数据格式往往不一样，例如ggplot2、plyr，还有大多数建模函数lm()、glm()、gam()等经常会使用长表格数据来作图...，这时用reshape2包来转换实验记录的宽表格数据会十分方便。...31 31 31 31 ## 4 8 31 31 31 31 ## 5 9 30 30 30 30 当我们在R运行上面的命令时...12个ggplot2扩展包帮你实现更强大的可视化 编程模板-R语言脚本写作：最简单的统计与绘图，包安装、命令行参数解析、文件读取、表格和矢量图输出 R语言统计入门课程推荐——生物科学中的数据分析Data
为了使Web界面易于访问，我们需要做一些准备工作： 启用身份验证 将ArangoDB绑定到公共网络接口 启用身份验证 与许多其他NoSQL数据库一样，ArangoDB也禁用了身份验证。...如果你在一个共享的环境中运行ArangoDB和/或要使用的Web界面，这时强烈建议启用身份验证。 激活/etc/arangodb/arangod.conf文件中的身份验证。...如果您更愿意运行两个多部分，一行命令来更新这两个文件，则可以改为运行以下命令： sudo sed -i.bak "s/^endpoint = ....要继续，请返回服务器的命令行。...我们将深入研究本教程中的另一个功能：AQL编辑器。 第8步 - 使用AQL查询数据 正如在介绍中提到的，ArangoDB带有一种称为AQL的完整查询语言。
Windows（滥用的）脚本程序绕过系统监控 如果攻击者重命名或修改已知的实用程序名(即 cscript、wscript、wmic、rundll32、regsvr32、mshta 等)，这将导致非常容易绕过基于命令行和进程名的检测...SYSMON 用户可以在配置文件中启用 IMPHASH： md5,IMPHASH 下面为一案例： ?...如果你使用 IBM Qradar Sysmon AQL， 你可以使用如下命令： select username, "Process CommandLine" from events where image...设定每天执行的计划任务，扫描用户的注册表 HKCU 键值，并将结果输出到系统事件日志，（即使用 EventCreate.exe 创建相关日志）可以帮助检测所谓的“无文件攻击”。 ?...查询命令: reg query HKCU /s /d /f "javascript" & reg query HKCU /s /d /f "powershell" & reg query HKCU /s
初识 ArangoDB 文章目录 初识 ArangoDB 前置知识 ArangoDB 的特性 ArangoDB 的安装与连接 ArangoDB 的操作 ArangoDB 的管理操作命令 数据库管理命令...集合管理命令 集合相关方法 图数据库 AQL 语句执行 ArangoDB 的 AQL 语法 插入数据 修改语句 删除语句 查询语句 图的遍历查询 前置知识 ArangoDB 的特性 灵活的数据类型，...数据库管理命令 # 创建数据库 db...._id); AQL 语句执行 # 执行一条 AQL 语句 db._query(query).toArray() # 带参数的执行 AQL db...._explain(query, bindParameters) ArangoDB 的 AQL 语法 插入数据 -- 插入一条记录 INSERT { "name": "Ned", "surname
通过 IBM AQL 查询： select "SourceImage", "TargetImage", "StartModule", "StartFunction" from events where...1 个月测试期间，这个 AQL 查询只匹配了这个事件（12 次，效果不错） 引用： https://github.com/mdsecactivebreach/CACTUSTORCH https://github.com...利用 RDPWRAP 做 RDP 劫持 RDPWRAP 是一种能够在非 windows server 上启用多并发 RDP 连接的合法第三方工具，它能够让攻击者在受害者还在使用它们计算机的时候使用远程连接操作受害者计算机...COM 调用后，svchost.exe 承载的 DCOMLaunch 服务会生成一个涉及 ShellBrowserWindows CLSID 的具有命令行属性的 rundll32.exe 实例： ?
例如 IBM QRadar 的查询 AQL 语句为： select "SourceImage", "TargetImage" from events where eventid=10 and utf8(...Windows 创建了一个安全事件来记录 NTFS 事务的状态变化（EventID = 4985）。因此，我们可以利用 4985 事件来检测Process Doppelgänging。 ?...DC（服务器端）系统没有为 SERVER01$ 创建本地配置文件，也没有在注册表中添加 SERVER01$ 用户的信息（因为我们通过 PsExec 创建的 spoolsrv 系统服务的执行命令的）。...由于我们是通过ntlm 进行身份验证的，系统记录到了一些登录信息，这些日志可以帮助分析人员发现不正常的认证活动: ? ?...2、如果使用 NTLM 作为身份验证方式，则 4624 事件中会包含登录来源的计算机名，如果是 Kerberos，则只记录来源 IP。
因为电脑版本的微信没有抢红包的功能，我们只能手机微信，那么就需要把手机连上电脑，通过电脑控制手机来自动抢，那就需要确保「adb」命令可正常执行。...▲红包标识的示例1 com.tencent.mm:id/aql ? ▲红包标识的示例2 com.tencent.mm:id/aql 点击红包，记录下弹出的大红包页面中“开”的元素标识 ?...) 遍历消息并查找红包 for msg in msg_list: # 微信红包的标识 LuckyMoney = msg.offspring('com.tencent.mm:id/aql...再次强调，在执行脚本时要确保手机连上电脑，并确保「adb」命令正常运行。 对Airtest有兴趣的小伙伴，可以参考airtest官方教程：AirtestIDE官方文档
因为电脑版本的微信没有抢红包的功能，我们只能手机微信，那么就需要把手机连上电脑，通过电脑控制手机来自动抢，那就需要确保「adb」命令可正常执行。...我们先来看看红包的标识： ▲红包标识的示例1 com.tencent.mm:id/aql ▲红包标识的示例2 com.tencent.mm:id/aql 点击红包，记录下弹出的大红包页面中“开”的元素标识...再次强调，在执行脚本时要确保手机连上电脑，并确保「adb」命令正常运行。
>>>> 飞机维护记录查询 我们将使用ArangoDB查询语言（AQL）来完成某些特定的查询。现在我们来看下我们可以使用AQL来完成哪些查询。...2、对于某个指定的（孤立的）部件，找到包含该部件并且有维护程序的飞机的最小部件 这种查询涉及从叶子vertices在树中反向向上搜索，直到找到有维护记录的组件vertices。...可以看到，AQL在RETURN语句中以JSON文档的形式，返回查询到的数据的相关属性内容。...>>>> 使用多模型查询 为了说明多模型数据库的强大潜力，最后将会演示一个覆盖三种数据模型数据的AQL查询。...5、欺诈检测 在这种场景中，通常需要存储大量的日志数据，这些数据涉及到帐户，IP地址，机器等不同的类型。这可以通过图进行数据建模。
因为电脑版本的微信没有抢红包的功能，我们只能手机微信，那么就需要把手机连上电脑，通过电脑控制手机来自动抢，那就需要确保「adb」命令可正常执行。...▲红包标识的示例1 com.tencent.mm:id/aql ? ▲红包标识的示例2 com.tencent.mm:id/aql 点击红包，记录下弹出的大红包页面中“开”的元素标识 ?...再次强调，在执行脚本时要确保手机连上电脑，并确保「adb」命令正常运行。
配置要点 1、日志开关 2、开启日志显示在VTY 窗口上 3、配置日志在内存中的缓存空间 4、日志记录到flash 5、日志信息发送到网络上的 syslog server 6、启用日志信息时间戳 7、启用...CLI命令保存到日志 配置步骤 1、日志开关 日志开关默认情况下是打开的，如果关闭日志开关，设备将不会在用户窗口打印日志信息，不会将日志信息发送给 Syslog 服务器，也不会将日志信息记录在相关媒介（...窗口上 注意： telnet、ssh远程登陆到设备上，默认不显示日志信息，若需要打印出日志信息需要开启 terminal monitor 命令 Ruijie#terminal monitor 开启日志信息显示在...syslog报文的源ip地址 备注：在设备运行出现异常，需要收集日志信息时，建议把发送到网络上的 Syslog Server（默认日志只记录到内存中，设备掉电或重启后日志信息会丢失） 6、启用日志信息时间戳...log datetimemsec 对普通log信息启用时间戳 7、启用CLI命令保存到日志 Ruijie(config)#logging userinfo command-log
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
云直播
