Eliseo Ortiz WebLog

#!/bin/bash
#.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-..-.-.-.-.-..-.-.-.-.-.-.-.-.#
# El siguiente script es un ejemplo de comandos basicos			    #
# para determinar el nuestro systema ha sido comprometido.		    #	
# Se debe de estar consciente de que cualquier herramienta que hagamos      #
# uso del sistema puede estar comprometida, del mismo modo como el mismo    #
# kernel del Sistema pudo haber sido modificado. Es por eso que se propone  #
# reiniciar desde un kernel de confianza y obtener una copia de cualquier   #
# herramienta intentemos usar en el analisis de intrusion.                   #
# Cualquier sugerencia o comentario eliseo@eliseoov.org                     #
#.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.#
archivo=incident_$(date +%F).txt
quien=$(whoami)
if [ "$quien" = "root" ]; then 
echo "Ejecutando script...";
cd /tmp
echo "
=========================================================
===================== Conexiones de Red ================
=========================================================" >> $archivo
netstat -an >> $archivo  				#checamos estado de la red
echo "
===========================================================
=== Quien se encuentra en el sistema y  que esta haciendo =
===========================================================" >> $archivo
w >> $archivo						#
echo "
===========================================================
================ Listado de procesos ======================
===========================================================" >> $archivo
ps aux >> $archivo					#Procesos que se encuentran activos
echo "
===========================================================
========== Ficheros que se encuentran Abiertos ============
===========================================================" >> $archivo
/usr/sbin/lsof -n >> $archivo				#Archivos que se encuentras abiertos.
echo "
===========================================================
========== Programas Cron =================================
===========================================================" >> $archivo
ls  -R /etc/cron.* >> $archivo
 
echo "
===========================================================
=== Ultimos inicios de sesion realizados en el sistema ====
===========================================================" >> $archivo
lastlog >> $archivo
 
echo "
===========================================================
=====  Listado de Ficheros con  Permisos SGID SUID ========
===========================================================" >> $archivo
find / -user root -perm -4000 -perm -2000 >> $archivo
find / -group kmem -perm -4000 -perm -2000 >> $archivo
 
echo "
===========================================================
===================== Fichero \"log\" Secure  =============
===========================================================" >> $archivo
cat /var/log/secure  >> $archivo
 
echo "
===========================================================
========== Ficheros \"log\" xFerlog========================
===========================================================" >> $archivo
cat /var/log/xferlog >> $archivo
 
 
echo "
===========================================================
========== Fichero \"log\" messages =======================
===========================================================" >> $archivo
cat /var/log/messages >> $archivo
echo "Hecho!"
echo "Revise el archivo: /tmp/$archivo";
else
   echo "Debe tener privilegios de root para poder ejecutar este script"
   exit
fi;