法证分析 - 过程日志

Question

我正在对基于主机的证据进行取证分析 - 检查服务器硬盘的分区。

我有兴趣在系统死机/重启之前找到所有“用户”运行的进程。

由于这不是实时分析，我无法使用ps或top来查看正在运行的进程。

所以，我想知道是否有像/ var / log / messages这样的日志显示用户运行的进程。

我在/ var / log / *中经历了很多日志 - 它们向我提供了有关登录，包更新，授权的信息 - 但没有关于流程的信息。

Answer 1

如果没有＆＃34;命令会计＆＃34;启用，没有。

Answer 2

有可能找到一些不太大的东西，无论如何要考虑的一些事情：

• 取决于优雅的死亡/重启（如果进程被正常杀死，.bash_history并且类似的文件可能会使用最近的会话信息进行更新）
• utmp 和 wtmp 文件可能会在重新启动时提供活动用户列表。
• 操作系统可能正在保存崩溃转储（取决于Linux分发）。如果是这样 - 您可以在崩溃时检查操作系统状态。有关详细信息，请参阅RedHat的crash（http://people.redhat.com/anderson/crash_whitepaper/）。
• /tmp，/var/tmp可能会有一些线索，正在运行的内容
• 崩溃时附近 mtime 和 ctime 时间戳（也可能是 atime ）的所有文件
• 也许你可以从交换分区中获得有用的东西（特别是如果重启与RAM使用量很大）。

Answer 3

  

所以，我想知道是否有像/ var / log / messages这样的日志   向我展示用户运行的进程

考虑到/ var / log的文件系统路径指定的操作系统，我假设你使用的是ubuntu或一些基于 linux 的服务器，如果你在盒子运行的时候没有进行实时取证或内存取证（抓取内存捕获），并且您重新启动系统，/ var / log中没有将进程归属于用户的文件。但是，如果用户正在使用bash shell，那么您可以检查.bash_history文件，该文件显示该用户运行的命令，我认为该命令为500（默认情况下为bash shell）。

或者，如果进行了内存转储（/ dev / mem或/ dev / kmem），那么您可以使用波动率来提取在盒子上运行的进程。但是，我认为您不能将流程归因于运行它们的用户。您需要为该链接提供波动率的额外输出。