用 Telnet 进行日志分析的可行路径
一、定位日志来源
- 系统侧日志：在 Debian/Ubuntu 上，服务与内核消息通常写入 journald 与 /var/log/syslog；认证类事件常写入 /var/log/auth.log。若系统启用了 Telnet 服务（如通过 xinetd 或 systemd socket 激活），相关的“连接/断开/拒绝”等提示可能出现在这些文件中。可用如下方式快速检索：
- 查看服务日志：journalctl -u telnet.socket -f
- 检索关键字：grep -i “telnet” /var/log/syslog；grep -i “telnet” /var/log/auth.log
- 按时间筛选：journalctl --since “2025-11-24 09:00:00” --until “2025-11-24 18:00:00”
- 网络侧证据：若系统未记录 Telnet 会话细节，可用 tcpdump 抓取 TCP 23 端口流量，直接观察连接建立、断开与交互内容（Telnet 为明文协议）：
- 抓包命令：sudo tcpdump -i any -nn -s0 -vv port 23
- 重要说明：在很多发行版中，Telnet 默认并不会自动写入详尽的会话日志，需结合系统日志与抓包综合分析。
二、快速排查与定位问题
- 服务与端口：确认 Telnet 服务是否运行并监听 23 端口
- 检查 socket/服务：systemctl status telnet.socket 或 systemctl status telnet.service
- 查看监听：ss -lntp | grep :23 或 netstat -tulpn | grep :23
- 防火墙与连通性：临时放行或关闭防火墙做 A/B 测试（如 firewalld/ufw），确认是否为策略阻断
- 认证与 Shell：若连接后立即断开，常见原因包括用户凭证错误、默认 shell 不可用或配置错误；可结合日志（如 /var/log/auth.log 或 /var/log/secure）与用户配置（/etc/passwd 中用户的 shell）排查
- 建议：完成取证后，优先迁移到 SSH 并禁用 Telnet，降低明文传输风险。
三、用 Python 自动拉取设备日志（适合路由器/交换机/防火墙等）
- 场景：很多网络设备仅支持 Telnet 管理，可用脚本自动登录并执行“show log / display log”等命令，集中采集与分析。
- 示例（Python 3，使用标准库 telnetlib）：
- 安装：无需额外依赖（Python 自带 telnetlib）
- 代码示例：
- import telnetlib, time
- HOST, PORT = “192.0.2.10”, 23
- USER, PASS = “admin”, “cisco123”
- tn = telnetlib.Telnet(HOST, PORT, timeout=10)
- tn.read_until(b"login: “); tn.write(USER.encode() + b”\n")
- tn.read_until(b"Password: “); tn.write(PASS.encode() + b”\n")
- tn.write(b"show log\n"); time.sleep(2)
- data = tn.read_very_eager()
- print(data.decode(errors=“ignore”))
- tn.close()
- 提示：不同厂商提示符与分页方式不同，需调整 read_until 的匹配字符串与超时；对输出做正则与时间戳解析，便于入库与告警。
四、分析技巧与加固建议
- 关键字筛选与统计：
- 连接与接受：grep -i “telnet.*accepted” /var/log/syslog | wc -l
- 失败与拒绝：grep -i “telnet.*refused|fail” /var/log/syslog | tail -n 20
- 时间窗定位：journalctl --since “2025-11-24 10:00” --until “2025-11-24 12:00” | grep -i telnet
- 抓包进阶：
- 仅看 SYN/ACK 建连：sudo tcpdump -i any -nn -s0 ‘tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn’ and port 23
- 导出会话以便离线分析：sudo tcpdump -i any -nn -s0 -w telnet_20251124.pcap port 23
- 日志轮转与完整性：
- 使用 journalctl 或 zcat/less 查看历史轮转文件（如 /var/log/syslog.*.gz）
- 安全加固：
- Telnet 传输为明文，存在凭据泄露与会话劫持风险；建议启用 SSH、限制来源 IP、强制密钥登录、禁用 Telnet 服务。