Реверс zabbix агента.

[bjornskau]

Есть задача, подробности которой по определенным причинам раскрыть не могу. Имеется zabbix агент, который мониторит какие-то параметры, какие неизвестно. В конфиге в качестве юзер параметра отдается что то похожее на лицензионный ключ. Все проверки судя по всему осуществляются с сервера, на который доступа нет. Как можно проследить параметры которые мониторятся.
Оговрка: поставить tcpdump нельзя, отмиррорить порт на свитче и прослушать трафик тоже.

[Semiadmin]

Указать DebugLevel=4 в конфиге агента и перезапустить его, потом смотреть лог агента.
Если это действие кажется слишком заметным, можно просто набрать команду zabbix_agentd -R log_level_increase, уровень логирования поднимется на 1 (дефолтный 3).

[bjornskau]

Указать DebugLevel=4 в конфиге агента и перезапустить его, потом смотреть лог агента.
Если это действие кажется слишком заметным, можно просто набрать команду zabbix_agentd -R log_level_increase, уровень логирования поднимется на 1 (дефолтный 3).

Спасибо. )) Сделал. ) Изучаю логи..)

[Semiadmin]

Только интуиция мне подсказывает, что лицензионный ключ проверяется не часто, может, раз в сутки...
Если этот userparameter, сорри за каламбур, без параметров, можно просто проверить его через zabbix_agentd -t <key>, а если с параметрами, то тут уж в лог...

[bjornskau]

Только интуиция мне подсказывает, что лицензионный ключ проверяется не часто, может, раз в сутки...
Если этот userparameter, сорри за каламбур, без параметров, можно просто проверить его через zabbix_agentd -t <key>, а если с параметрами, то тут уж в лог...

Хм. Говорит что unsupported item key...(. Да, быть может забыл сказать, агент виндовый.

[Semiadmin]

Хм. Говорит что unsupported item key...(. Да, быть может забыл сказать, агент виндовый.

А как выглядит ключ в юзерпараметре? Если сильно секретно, буквы можете заменить на другие, интересна форма

[bjornskau]

А как выглядит ключ в юзерпараметре? Если сильно секретно, буквы можете заменить на другие, интересна форма

UserParameter=param.name, echo Windows.Pass.XXX.XXX.XXX

[Semiadmin]

Ну тут все просто, копируете в cmd это echo Windows.Pass.XXX.XXX.XXX и смотрите результат.

[bjornskau]

Ну тут все просто, копируете в cmd это echo Windows.Pass.XXX.XXX.XXX и смотрите результат.

Делал. echo отрабатывает как echo. просто выводит ту самую строку. Тут ничего примечательного.(

[Semiadmin]

Ну, если там действительно UserParameter=param.name, echo Windows.Pass.XXX.XXX.XXX а не, скажем, UserParameter=param.name[*], echo Windows.Pass.XXX.XXX.XXX $1, то ничего другого Zabbix и не получит.

[bjornskau]

Ну, если там действительно UserParameter=param.name, echo Windows.Pass.XXX.XXX.XXX а не, скажем, UserParameter=param.name[*], echo Windows.Pass.XXX.XXX.XXX $1, то ничего другого Zabbix и не получит.

Да, именно UserParameter=param.name, echo Windows.Pass.XXX.XXX.XXX .