1、前言
啥是日志呢，日志就是字面意思，用来记录你干了啥事情。日志大体可以分为网站日志和系统日志，网站日志呢就是记录哪个用户在哪里什么时候干了啥事，以及其它的与网站相关的事情。系统日志呢，就是记录你的电脑系统或者服务器什么时候干了什么事情，比如系统更新，用户登录等于系统相关的事情。简单来说日志就是把你对这个网站或者系统做的事情都记录下来，既然如此，那么当一个网站被入侵或者服务器被入侵时，我们是不是可以通过分析相关的日志来还原攻击者干了啥。
2、Linux日志
Linux的日志都是存放在/var/log下面滴，查看日志配置情况：more /etc/rsyslog.conf。
然后一般来说主要分析的日志是secure、wtmp、utmp、lastlog、btmp。
3、常用日志分析命令
awk '{print $11}'输出第11个字段的值，sort -nr依照数值的大小排序且以相反的顺序来排序，uniq -c在每行前面加上此行在文件中出现的次数，
1、查看多少个IP在爆破主机root账号
cat /var/log/secure | grep -a "Failed password for root" | awk '{print $11}' | sort | uniq -c | sort -nr | more
2、爆破用户名字典是什么？
cat /var/log/secure | grep -a "Failed password" |perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr
3、登录成功的IP有哪些
grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more
4、登录成功的日期、用户名、IP
cat /var/log/secure | grep -a "Accepted " | awk '{print $1,$2,$3,$9,$11}'
5、查看新增用户
cat /var/log/secure |grep -a "new user"
4、玄机平台实战
这里还是借助玄机平台的靶机进行演示，比较简单的一个靶机。
这里看了一圈没发现seure这个日志，然后我逐个日志查看发现auth.log.1这个日志充当了这个角色。
那我们只需围绕着auth.log.1来进行分析即可。
有多少IP在爆破主机ssh的root帐号，如果有多个使用","分割。
flag{192.168.200.2,192.168.200.31,192.168.200.32}
cat /var/log/auth.log.1 | grep -a "Failed password for root" | awk '{print $11}' | sort | uniq -c | sort -nr | more
ssh爆破成功登陆的IP是多少，如果有多个使用","分割。
flag{192.168.200.2}
cat /var/log/auth.log.1 | grep -a "Accepted " | awk '{print $11}' | sort | uniq -c | sort -nr | more
爆破用户名字典是什么？如果有多个使用","分割。
flag{user,hello,root,test3,test2,test1}
cat /var/log/auth.log.1 | grep -a "Failed password" |perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr
登陆成功的IP共爆破了多少次。
我们先看看那个ip成功登录了，再查看上面第一步的数据即可。
flag{4}
cat /var/log/auth.log.1 | grep -a "Accepted " | awk '{print $1,$2,$3,$9,$11}'
黑客登陆主机后新建了一个后门用户，用户名是多少。
flag{test2}
cat /var/log/auth.log.1 |grep -a "new user"
5、总结
在现实中的日志往往会更庞大更复杂，肯定不会像靶机一样光敲命令就完事了。更多的是需要具体情况具体分析。
最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。