Linux 日誌清理工具 logtamper 1.1 詳細使用教學

工具簡介

logtamper 是一款 Linux 系統日誌修改工具，能在修改 utmp、wtmp、lastlog 等日誌檔案的同時，保留檔案的原始時間屬性（atime 不變）。這對於系統管理員進行安全審計測試或學習日誌機制非常有幫助。

支援的日誌檔案與預設路徑

• utmp：/var/run/utmp - 目前登入使用者資訊
• wtmp：/var/log/wtmp - 歷史登入記錄
• lastlog：/var/log/lastlog - 使用者最後登入時間

可使用 -f 參數指定自訂路徑。

三大核心功能與實戰範例

1. -h 參數：隱藏目前線上使用者 (utmp)

當管理員執行 w 指令查看線上使用者時，您可以隱藏特定帳號與來源 IP：

./logtamper-static -h root 192.168.80.1

執行後再次輸入 w，該連線將不再顯示。

2. -w 參數：清除歷史登入記錄 (wtmp)

移除特定主機的登入痕跡：

./logtamper-static -w root 192.168.80.1

之後使用 last 指令將看不到該 IP 的登入紀錄。

3. -m 參數：修改最後登入資訊 (lastlog)

偽造最後登入時間、來源 IP 與終端機：

./logtamper-static -m root 1.2.3.4 tty10 2008:1:1:1:1:1

格式為：使用者 主機IP 終端機 年:月:日:時:分:秒。

注意事項

本工具僅供安全研究與教學用途，請勿用於非法入侵或掩蓋攻擊行為。修改系統日誌可能影響系統稽核功能，操作前請備份原始日誌。