Linux log 记录

acct或pacct－一记录每个用户使用的命令记录。
　　accesslog主要用来服务器运行了NCSA HTTP服务器，这个记录会记录有什么站点连接过你的服务器。
　　aculo保存拨出去的Modems记录。
　　lastlog记录了最近的Login记录和每个用户的最初目的地，有时是最后不成功Login的记录。
　　loginlog一记录一些不正常的L0gin记录。
　　messages——记录输出到控制台的记录，另外的信息由Syslog来生成
　　security记录一些使用 UUCP系统企图进入限制范围的事例。
　　sulog记录使用su命令的记录。
　　utmp记录当前登录到系统中的所有用户，这个文件伴随着用户进入和离开系 统而不断变化。
　　Utmpx，utmp的扩展。
　　wtmp记录用户登录和退出事件。
　　Syslog最重要的日志文件，使用syslogd守护来获得。　　2.隐藏踪迹攻击者在获得系统最高 管理员权限之后就可以随意修改系统上的文件了（只对常规 Unix系统而言），包括日志文件，所以一般黑客想要隐藏自己的踪迹的话，就会对日志进行修改。最简单的方法当然 就是删除日志文件了，但这样做虽然避免了系统管理员根据IP追踪到自己，但也明确无误地告诉了管理员，系统己经被人侵了。所以最常用的办法是只对日志文件中有关自己 的那一部分做修改。关于修改方法的具体细节根据不同的操作系统有所区别，网络上有许多此类功能的程序，例如 zap、 wipe等，其主要做法就是 清除 utmp、wtmp、Lastlog和 Pacct等日志文件中某一用户的信息，使得当使用w、who、last等命令查看日志文件时， 隐藏掉此用户的信息。    管理员想要避免日志系统被黑客修改，应该采取一定的措施，例如用打印机实时记录网络日志信息。但这样做也有弊端，黑客一旦了解到你的做法 就会不停地向日志里写入无用的信息，使得打印机不停地打印日志，直到所有的纸用光为止。所以比较好的避免日志被修改的办法是把所有日志文件发送到一台比较 安全的主机上，即使用loghost。即使是这样也不能完全避免日志被修改的可能性，因为黑客既然能攻入这台主机，也很可能攻入loghost。　　只修改日志是不够的，因为百密必有一漏，即使自认为修改了所有的日志，仍然会留下一些蛛丝马迹的。例如安装了某些后门程序，运行后也 可能被管理员发现。所以，黑客高手可以通过替换一些系统程序的方法来进一步隐藏踪迹。这种用来替换正常系统程序的黑客程序叫做rootkit，这类程序在一些 黑客网站可以找到，比较常见的有LinuxRootKit，现在已经发展到了5.0版本了。它可以替换系统的ls、ps、netstat、inetd等等一系列重要的系统程序，当替换了ls后，就可以隐藏指定的文件，使得管理员在使用ls命令时无法看到这些文件， 从而达到隐藏自己的目的。