日志分析，是怎么进入的，

kofp493158

求助
在var\log\secure
Oct 22 04:03:04 rac1 runuser: pam_unix(runuser-l:session): session opened for user cyrus by (uid=0)
Oct 22 04:03:04 rac1 runuser: pam_unix(runuser-l:session): session closed for user cyrus
是不是能过runuser这个，用户cyrus UID =0 是吗

chenyx

这个应该是系统调用的吧,应该没事

kofp493158

用户cyrus 的UID 是小于100，
cyrus:76:12:Cyrus IMAP Server:/var/lib/imap:/bin/bash
可他也可以登录系统呀，

chenyx

日志里面有那个用户登入的信息?

kofp493158

Oct 28 03:00:38 rac1 xinetd[4318]: START: telnet pid=23763 from=94.50.94.225
Oct 28 03:00:41 rac1 telnetd[23763]: ttloop:  peer died: Invalid or incomplete multibyte or wide character
Oct 28 03:00:41 rac1 xinetd[4318]: EXIT: telnet status=1 pid=23763 duration=3(sec)
这是\var\log\messages

上边的，START: telnet pid=23763 from=94.50.94.225

IP 不是我们内部的。

[ 本帖最后由 kofp493158 于 2009-10-28 14:22 编辑 ]

chenyx

用lastlog确认下

kofp493158

没有登录。
再问一个，呵呵
在问一个，
Oct 28 11:37:22 rac2 su: pam_unix(su-l:session): session opened for user root by root(uid=1001)
Oct 28 11:45:11 rac2 sshd[5921]: Accepted password for root from 172.8.0.105 port 27991 ssh2
Oct 28 11:45:11 rac2 sshd[5921]: pam_unix(sshd:session): session opened for user root by (uid=0)
Oct 28 11:45:11 rac2 sshd[5921]: pam_unix(sshd:session): session closed for user root
这个105的IP登录上服务器了吗，可时间在同一个点上。但密码好像验证通过了，对吗

emmoblin

对，这些使用last命令读取就是这个日志

kns1024wh

这个说明是用户的pam模块信息