/l3/users/nt-ids-2008-09/syslog/root :1 :2 :3 :4 :5 :6 :7 :8 :9 :10
[ править ]

Журнал лабораторных работ

Содержание

Журнал

Четверг (09/04/08)

/dev/pts/3
19:11:58
#cat /usr/local/bin/syslog-ng-arpwatch
#!/bin/sh
PATH=$PATH:/usr/local/bin
shutport ()
{
    INT=$1;
    SWITCH=192.168.15.99;
    PASSWORD=procurve;
    ( sleep 5;
    echo ${PASSWORD};
    sleep 1;
...
do
mac="$(echo $line | egrep 'changed ethernet address|reused old ethernet address' | awk '{print $10}')"
[ -z "$mac"] && continue
port_line="$(mac2port | grep "$mac" )"
port=$(echo $port_line | sed "s/.*->//")
echo POSSIBLY ARP-SPOOFING FROM: $port_line | logger -t arp-spoofing
shutport $port
done
}
main
19:14:44
#tail /var/log/messages
Sep  4 13:05:30 linux1 dhcdbd: message_handler: message handler not found under /com/redhat/dhcp/eth1 for sub-path eth1.dbus.get.domain_search
Sep  4 13:05:30 linux1 dhcdbd: message_handler: message handler not found under /com/redhat/dhcp/eth1 for sub-path eth1.dbus.get.nis_domain
Sep  4 13:05:30 linux1 dhcdbd: message_handler: message handler not found under /com/redhat/dhcp/eth1 for sub-path eth1.dbus.get.nis_servers
Sep  4 13:05:30 linux1 dhcdbd: message_handler: message handler not found under /com/redhat/dhcp/eth1 for sub-path eth1.dbus.get.interface_mtu
Sep  4 13:06:04 linux1 dhcdbd: Unrequested down ?:3
Sep  4 13:10:10 linux1 kernel: [ 8049.743351] device eth0 left promiscuous mode
Sep  4 15:21:05 linux1 kernel: [15908.676048] device eth0 entered promiscuous mode
Sep  4 15:51:24 linux1 kernel: [17730.968573] eth0: Link is Down
Sep  4 15:52:46 linux1 kernel: [17813.954343] eth0: Link is Up 100 Mbps Full Duplex, Flow Control: None
Sep  4 15:52:46 linux1 kernel: [17813.954347] eth0: 10/100 speed: disabling TSO

Файлы

  • /usr/local/bin/syslog-ng-arpwatch
    • /usr/local/bin/syslog-ng-arpwatch
    >
    #!/bin/sh
PATH=$PATH:/usr/local/bin
shutport ()
{
    INT=$1;
    SWITCH=192.168.15.99;
    PASSWORD=procurve;
    ( sleep 5;
    echo ${PASSWORD};
    sleep 1;
    echo;
    sleep 1;
    echo conf;
    sleep 1;
    echo int $INT disable;
    sleep 1;
    echo end;
    sleep 1;
    echo exit;
    sleep 1;
    echo exit;
    sleep 1;
    echo y ) | socat - EXEC:"ssh ${SWITCH}",setsid,pty,ctty
}
main()
{
while read line
do
mac="$(echo $line | egrep 'changed ethernet address|reused old ethernet address' | awk '{print $10}')"
[ -z "$mac"] && continue
port_line="$(mac2port | grep "$mac" )"
port=$(echo $port_line | sed "s/.*->//")
echo POSSIBLY ARP-SPOOFING FROM: $port_line | logger -t arp-spoofing
shutport $port
done
}
main

    Статистика

    Время первой команды журнала19:11:58 2008- 9- 4
    Время последней команды журнала19:14:44 2008- 9- 4
    Количество командных строк в журнале2
    Процент команд с ненулевым кодом завершения, % 0.00
    Процент синтаксически неверно набранных команд, % 0.00
    Суммарное время работы с терминалом *, час 0.05
    Количество командных строк в единицу времени, команда/мин 0.72
    Частота использования команд
    tail1|==================================================| 50.00%
    cat1|==================================================| 50.00%
    ____
    *) Интервалы неактивности длительностью 30 минут и более не учитываются

    Справка

    Для того чтобы использовать LiLaLo, не нужно знать ничего особенного: всё происходит само собой. Однако, чтобы ведение и последующее использование журналов было как можно более эффективным, желательно иметь в виду следующее:

    1. В журнал автоматически попадают все команды, данные в любом терминале системы.

    2. Для того чтобы убедиться, что журнал на текущем терминале ведётся, и команды записываются, дайте команду w. В поле WHAT, соответствующем текущему терминалу, должна быть указана программа script.

    3. Команды, при наборе которых были допущены синтаксические ошибки, выводятся перечёркнутым текстом: 
      $ l s-l
      bash: l: command not found

    4. Если код завершения команды равен нулю, команда была выполнена без ошибок. Команды, код завершения которых отличен от нуля, выделяются цветом. 
      $ test 5 -lt 4
      Обратите внимание на то, что код завершения команды может быть отличен от нуля не только в тех случаях, когда команда была выполнена с ошибкой. Многие команды используют код завершения, например, для того чтобы показать результаты проверки

    5. Команды, ход выполнения которых был прерван пользователем, выделяются цветом. 
      $ find / -name abc
      find: /home/devi-orig/.gnome2: Keine Berechtigung
find: /home/devi-orig/.gnome2_private: Keine Berechtigung
find: /home/devi-orig/.nautilus/metafiles: Keine Berechtigung
find: /home/devi-orig/.metacity: Keine Berechtigung
find: /home/devi-orig/.inkscape: Keine Berechtigung
^C

    6. Команды, выполненные с привилегиями суперпользователя, выделяются слева красной чертой. 
      # id
      uid=0(root) gid=0(root) Gruppen=0(root)

    7. Изменения, внесённые в текстовый файл с помощью редактора, запоминаются и показываются в журнале в формате ed. Строки, начинающиеся символом "<", удалены, а строки, начинающиеся символом ">" -- добавлены. 
      $ vi ~/.bashrc
      2a3,5
>    if [ -f /usr/local/etc/bash_completion ]; then
>         . /usr/local/etc/bash_completion
>        fi

    8. Для того чтобы изменить файл в соответствии с показанными в диффшоте изменениями, можно воспользоваться командой patch. Нужно скопировать изменения, запустить программу patch, указав в качестве её аргумента файл, к которому применяются изменения, и всавить скопированный текст: 
      $ patch ~/.bashrc
      В данном случае изменения применяются к файлу ~/.bashrc

    9. Для того чтобы получить краткую справочную информацию о команде, нужно подвести к ней мышь. Во всплывающей подсказке появится краткое описание команды.

      Если справочная информация о команде есть, команда выделяется голубым фоном, например: vi. Если справочная информация отсутствует, команда выделяется розовым фоном, например: notepad.exe. Справочная информация может отсутствовать в том случае, если (1) команда введена неверно; (2) если распознавание команды LiLaLo выполнено неверно; (3) если информация о команде неизвестна LiLaLo. Последнее возможно для редких команд.

    10. Большие, в особенности многострочные, всплывающие подсказки лучше всего показываются браузерами KDE Konqueror, Apple Safari и Microsoft Internet Explorer. В браузерах Mozilla и Firefox они отображаются не полностью, а вместо перевода строки выводится специальный символ.

    11. Время ввода команды, показанное в журнале, соответствует времени начала ввода командной строки, которое равно тому моменту, когда на терминале появилось приглашение интерпретатора

    12. Имя терминала, на котором была введена команда, показано в специальном блоке. Этот блок показывается только в том случае, если терминал текущей команды отличается от терминала предыдущей.

    13. Вывод не интересующих вас в настоящий момент элементов журнала, таких как время, имя терминала и других, можно отключить. Для этого нужно воспользоваться формой управления журналом вверху страницы.

    14. Небольшие комментарии к командам можно вставлять прямо из командной строки. Комментарий вводится прямо в командную строку, после символов #^ или #v. Символы ^ и v показывают направление выбора команды, к которой относится комментарий: ^ - к предыдущей, v - к следующей. Например, если в командной строке было введено: 

      $ whoami

      user

      $ #^ Интересно, кто я?
      в журнале это будет выглядеть так: 
      $ whoami

      user
      Интересно, кто я?

    15. Если комментарий содержит несколько строк, его можно вставить в журнал следующим образом: 

      $ whoami

      user

      $ cat > /dev/null #^ Интересно, кто я?

      Программа whoami выводит имя пользователя, под которым 
мы зарегистрировались в системе.
-
Она не может ответить на вопрос о нашем назначении 
в этом мире.
      В журнале это будет выглядеть так: 
      $ whoami
      user
      Интересно, кто я?
      Программа whoami выводит имя пользователя, под которым
      мы зарегистрировались в системе.

      Она не может ответить на вопрос о нашем назначении
      в этом мире.
      Для разделения нескольких абзацев между собой используйте символ "-", один в строке.

    16. Комментарии, не относящиеся непосредственно ни к какой из команд, добавляются точно таким же способом, только вместо симолов #^ или #v нужно использовать символы #=

    17. Содержимое файла может быть показано в журнале. Для этого его нужно вывести с помощью программы cat. Если вывод команды отметить симоволами #!, содержимое файла будет показано в журнале в специально отведённой для этого секции.

    18. Для того чтобы вставить скриншот интересующего вас окна в журнал, нужно воспользоваться командой l3shot. После того как команда вызвана, нужно с помощью мыши выбрать окно, которое должно быть в журнале.

    19. Команды в журнале расположены в хронологическом порядке. Если две команды давались одна за другой, но на разных терминалах, в журнале они будут рядом, даже если они не имеют друг к другу никакого отношения. 
      1
    2
3   
    4
      Группы команд, выполненных на разных терминалах, разделяются специальной линией. Под этой линией в правом углу показано имя терминала, на котором выполнялись команды. Для того чтобы посмотреть команды только одного сенса, нужно щёкнуть по этому названию.


    О программе

    LiLaLo (L3) расшифровывается как Live Lab Log.
    Программа разработана для повышения эффективности обучения Unix/Linux-системам.
    (c) Игорь Чубин, 2004-2008

    $Id$