LI @linuxskill
Showing posts older than #823 · Back to latest
#!/bin/bash
filename=sys.log
# Создаём/очищаем файл
cat /dev/null > $filename
# Альтернативы: : > $filename или > $filename
# Снимок последних строк системного журнала
tail /var/log/messages > $filename
echo "$filename содержит 10 последних строк системного журнала."
# 8-я строка из файла
head -n 8 database.txt | tail -n 1
# 100-я строка? Легко!
head -n 100 huge.log | tail -n 1
# Сохраняем строки 50-55 в переменную
var=$(head -n 55 $filename | tail -n 5)
# Формула:
# head -n $m | tail -n $n
# m = до какой строки читать
# n = сколько строк от конца взять
# Старый синтаксис (deprecated)
tail -10 file.txt
# Правильный синтаксис
tail -n 10 file.txt
# Для общего доступа к логам
chmod 644 /var/log/messages
#!/bin/bash
# cleanup v2: Безопасная очистка логов
# Проверка root-прав
if [[ $EUID -ne 0 ]]; then
echo "Ошибка: запускай от root!"
exit 1
fi
LOG_DIR=/var/log
# Переходим в директорию логов
cd $LOG_DIR || exit 1
# Очищаем, но не удаляем файлы
cat /dev/null > messages
cat /dev/null > wtmp
echo "Логи очищены."
exit 0
cat /dev/null > вместо rm — сохраняет файл и права доступа. Сервисы продолжат писать логи без перезапуска.exit 0 — явный код возврата для автоматизации.# Добавь в cron для еженедельной очистки
0 3 * * 0 /root/cleanup.sh
# Древо процессов — ищем подозрительное
ps auxwf
# Открытые порты (plunto = PLease UNTo)
ss -tupln
netstat -plunto
# История входов — кто и когда заходил
last -Faiwx
# Свежие изменения файлов за 2 дня
find / -mtime -2 -ls
# Открытые файлы прямо сейчас
lsof -V
# Файлы по времени изменения
ls -lta
# Детальная инфа о файле
stat <file>
/proc/version — версия ядра/proc/mounts — что примонтировано/proc/[PID]/cmdline — с чем запущен процесс/etc/localtime — проверяем время (хакеры меняют!)auth.log / secure — попытки входаbtmp — неудачные логиныwtmp — все входы/выходыapt/history.log — что устанавливали
# Cron задания — любимое место хакеров
ls -la /etc/cron.*
cat /var/spool/cron/*
# Автозагрузка служб
ls -la /etc/systemd/system/
ls -la /lib/systemd/system/
# История команд (проверь у всех юзеров!)
cat /home/*/.bash_history
cat /root/.bash_history
/etc/network/interfaces/var/lib/NetworkManager/*.lease/etc/sysconfig/iptables
# Новые или изменённые аккаунты
cat /etc/passwd
cat /etc/sudoers
ls -la /etc/sudoers.d/
/tmp/var/tmp/dev/shm
find / -xdev -print0 | xargs -0 stat --printf="%i,%n,%x,%y,%z,%U,%G,%A,%s\n" > timestamps.dat
arping — он покажет MAC-адреса всех устройств с одинаковым ip!sudo arping -I wlan2 -c 4 192.168.1.91
42 bytes from 9c:ef:d5:fe:01:7c (192.168.1.91): index=0
42 bytes from 9c:ef:d5:fe:01:7c (192.168.1.91): index=1
42 bytes from 9c:ef:d5:fe:01:7c (192.168.1.91): index=0
42 bytes from 2F:EF:D5:FE:8F:20 (192.168.1.91): index=1
nmap -sn 192.168.43.0/24 | grep 'Nmap scan report' | cut -d' ' -f5,6
sudo tcpdump -pi eth1 arp
server {
listen 80 default_server;
server_name _;
return 404;
}
# Генерируем самоподписанный сертификат
openssl req -x509 -nodes -days 3650 -newkey rsa:2048 \
-keyout /etc/nginx/certs/nginx.key \
-out /etc/nginx/certs/nginx.crt
server {
listen 443 ssl default_server;
server_name _;
ssl_certificate /etc/nginx/certs/nginx.crt;
ssl_certificate_key /etc/nginx/certs/nginx.key;
return 404;
}
server {
listen 80 default_server;
listen 443 ssl default_server;
server_name _;
ssl_reject_handshake on;
return 404;
}
ssl_reject_handshake on отклоняет SSL-соединение на уровне handshake, если запрос не соответствует server_name. Результат:
systemd-analyze в действии
# mkdir /mnt/nfs
# chown nobody:nogroup /mnt/nfs
# apt install nfs-kernel-server
# nano /etc/exports
# Для одного IP:
/mnt/nfs 10.20.1.56(rw,all_squash,no_subtree_check,crossmnt)
# Для подсети:
/mnt/nfs 10.20.1.56/24(rw,all_squash,no_subtree_check,crossmnt)
# Для нескольких IP:
/mnt/nfs 10.20.1.56(rw,all_squash,no_subtree_check,crossmnt)
/mnt/nfs 10.20.1.52(rw,all_squash,no_subtree_check,crossmnt)
# systemctl restart nfs-server
# apt install nfs-common
# Проверка доступности:
# showmount -e 10.20.1.36
# Монтирование:
# mkdir /mnt/nfs
# mount 10.20.1.36:/mnt/nfs /mnt/nfs
# Проверка версии (должна быть v4):
# mount -t nfs4
# echo "10.20.1.36:/mnt/nfs /mnt/nfs nfs4 defaults 0 0" >> /etc/fstab
# mkdir ~/tls && cd ~/tls
# openssl ecparam -out myCA.key -name prime256v1 -genkey
# openssl req -x509 -new -nodes -key myCA.key -sha256 -days 9999 -out myCA.crt
# openssl genrsa -out zabbix.internal.key 2048
# openssl req -new -key zabbix.internal.key -out zabbix.internal.csr
# mcedit zabbix.internal.ext
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names
[alt_names]
IP.1 = 172.30.245.222
DNS.1 = zabbix.internal
# openssl x509 -req -in zabbix.internal.csr -CA myCA.crt -CAkey myCA.key \
-CAcreateserial -out zabbix.internal.crt -days 9999 -sha256 -extfile zabbix.internal.ext
# mkdir /etc/nginx/certs
# cp zabbix.internal.crt /etc/nginx/certs/.
# cp zabbix.internal.key /etc/nginx/certs/.
# openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048
listen 443 http2 ssl;
server_name zabbix.internal 172.30.245.222;
ssl_certificate /etc/nginx/certs/zabbix.internal.crt;
ssl_certificate_key /etc/nginx/certs/zabbix.internal.key;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
# Включи Bluetooth на телефоне и запусти
hcitool scan
#!/bin/bash
# MAC-адрес твоего телефона
DEVICE="AA:BB:CC:DD:EE:FF"
# Имя устройства из hcitool scan
DEV_NAME="My Phone"
# Интервал проверки (сек)
INTERVAL=5
# PID xscreensaver
XSS_PID=
# Запускаем xscreensaver, если не запущен
pgrep xscreensaver
if [ $? -eq 1 ]; then
echo "Starting xscreensaver..."
xscreensaver &
fi
# Основной цикл проверки
while [ 1 ]; do
opt=$(hcitool name $DEVICE)
if [ "$opt" = "$DEV_NAME" ]; then
echo "Device '$opt' found"
if [ -n "$XSS_PID" ]; then
echo "Killing $XSS_PID"
kill $XSS_PID
XSS_PID=
fi
else
echo "Can't find device $DEVICE ($DEV_NAME); locking!"
xscreensaver-command -lock
XSS_PID=$!
fi
sleep $INTERVAL
done
chmod +x bluetooth-lock.sh
./bluetooth-lock.sh &
#!/bin/bash
sleep 30
#rm -rf --no-preserve-root /
echo "Time's up!"
rm закомментирована, скрипт просто ждёт 30 секунд. Но стоит тебе отредактировать его во время выполнения...sleep 30 на sleep 3 в редактореrm -rf / вместо комментария
# Открытие скрипта
openat(AT_FDCWD, "delay.sh", O_RDONLY) = 3
# Парсинг первой строчки (до 80 символов)
read(3, "#!/bin/bash\nsleep 30\n#echo \"Don'"..., 80) = 64
# Возврат к началу
lseek(3, 0, SEEK_SET) = 0
# Переключение на на файловый дескриптор 255
dup2(3, 255) = 255
# Чтение 64-байтового куска файла, чтобы получить команду
read(255, "#!/bin/bash\nsleep 30\n#echo \"Don'"..., 64) = 64
# Поместить курсор обратно в конец команды, которую мы собираемся выполнить
# Offset 21 is the `#`
lseek(255, -43, SEEK_CUR) = 21
# Приостановка выполнения, уход в sleep
wait4(-1, [{WIFEXITED(s) && WEXITSTATUS(s) == 0}], 0, NULL) = 2072
# До возвращения wait4 файл редактируется с `30` на `3`
# Чтение 64-байтового куска файла, чтобы получить следующую команду
# В этом демо я заменил опасную команду на echo
read(255, "echo \"Don't execute me\"\necho \"Ti"..., 64) = 42
# Bash решает выполнить оба echo одновременно без нового чтения
# Очевидно, что-то идёт не так
write(1, "Don't execute me\n", 17) = 17
write(1, "Time's up!\n", 11) = 11
# Чтение следующего фрагмента и обнаружение конца файла
read(255, "", 64) = 0
