34、渗透测试中的痕迹隐藏与报告撰写

渗透测试中的痕迹隐藏与报告撰写

一、渗透测试中的痕迹隐藏

1.1 日志数据操纵

在渗透测试中，即使我们试图通过操纵日志文件来隐藏活动，系统管理员仍有可能检测到我们的存在。例如，使用 who 命令可以显示 root 从两个位置登录系统，本地终端 tty 和远程终端 pts/0 ，管理员可通过分析远程连接的IP地址判断连接是否来自可信系统。

应用程序也会根据配置记录数据。在对远程系统服务进行暴力攻击时，失败的登录尝试会被记录在 /var/log/message 文件中。该文件的时间戳会与最后一条记录匹配， syslogd 进程每20分钟会对其进行标记，用于故障排除。如果要隐藏失败的登录攻击，删除 /var/log/messages 文件中的数据时，不能删除 – MARK – 条目。而且该文件由 root 拥有，在获得 root 权限之前，我们的登录活动易被检测到。

操纵日志数据有以下要点：
- 如果想确保所有活动不可追溯，但不在乎是否被检测到存在，可删除日志文件。
- 修改日志文件时，可能无法删除所有需要删除的内容，或者删除过多导致日志出现明显间隙。
- 修改或删除日志文件通常需要 root 权限。

1.2 文件隐藏

1.2.1 明处隐藏文件