序言

今天刚起床就感觉右眼皮一直跳个不停，结果当我一打开墨墨的时候就看到这条弹窗，顿时整个人都石化了`(>﹏<)′。

用它背了俩个月的单词了，多多少少背了1k+的单词了，而且这些单词全是保存在自己手机上的，没备份到墨墨的服务器上，也就是说，就算我按它提示恢复了我这账号，我这1k+个单词也不能回来(T＿T)，全是心血啊，真心舍不得(ㄒoㄒ)。不过幸好自己学了点计算机方面的东西，想想看看自己可不可以把这些本地单词迁移出来。索性折腾了一个多小时，把这1k+个单词成功转移到了正版的墨墨上ヽ（＾Д＾）ﾉ，这把我乐的啊，不过想想或许有和我一样遇到这个问题的hxd，于是这篇帖子就应运而生了。

正文

1. 退出app
首先，当你遇到上面这个账号异常的弹窗提示的时候，说明你账号已经被官方检测到有问题了，后面会要求你输入账户密码，让你重新登陆账号。这时候就别去输密码了，都是徒劳的，即使你密码输入正确，也登陆不进去。但如果你不登陆的话，它会提示你清除本地记录，这个也是不要去点的，这一点，你数据就真的全没了，本贴也救不了你了。那这时候你应该做的事是立马退出app。

2. 复制出“databases”文件
然后用MT管理器打开墨墨真正的安装路径（如果你手机已经root了，那么可以通过这个软件直接访问手机根目录下data/user/0/com.maimemo.android.momo/，如下图，如果没有的话，可以参考我的另一篇博文来获取：《未root的情况下获取墨墨背单词的databases文件夹》：https://blog.csdn.net/qq_43717244/article/details/124628868）
随后进入该文件夹，将里面一个名为"databases"的文件夹拷贝出来
这文件夹里面包含的是一些数据库文件，其中就包含了你背的那些单词.

3. 数据迁移
随后我们就可以把pjb的墨墨卸载了，然后在墨墨的官网“https://www.maimemo.com/”中登陆我们账号，并按它的提示点击临时激活我们的账号。当我们激活账号以后，就可以通过应用商店安装正版墨墨了。
应用安装好以后，我们先在墨墨中登陆被我们激活的账号，随后再按同样的方法，打开墨墨“databases”文件夹所在的路径，并将我们之前拷贝的“databases”文件夹覆盖掉这个新的“databases”文件夹。最后我们再打开墨墨，并按它的提示购买一定数量的单词，然后此次数据迁移工程就算大功告成了，这些宝贝单词就算是保住了，花在它身上的力气总算是没白费٩（●ᴗ●）۶。
虽然这里理论上也可以通过修改我们拷贝的数据库文件夹中有关userid等的字段，将其修改成另一个正常账号，再登陆这个正常账号，然后拷贝这个数据库文件夹过去来达到本地数据迁移到不同账号的目的，但因为个人技术和时间有限，这部分也没去研究，而且感觉单词价格比起某度来说也不算离谱，软件也好用，所以本人就直接入正使用了。

4. 结束语
最后在这里祝大家万事如意，心想事成。同时为河北喊一声加油٩（●ᴗ●）۶。如果你觉得本贴对你有帮助的话，不要忘记点赞哦。好了，继续回去啃高数了。（^_）

前言

在我的《墨墨背单词免费版本地数据找回方法》这篇博客中提到：“复制出“databases”文件”。但这个文件夹并不是那么容易复制出的，如果你的手机已经被root了，那访问这个文件夹就易如反掌；但若未root，由于安卓的保护机制，普通用户是无法进入/data/user/0这一目录下的，而我们的databases文件夹却是在这一目录里，所以对于普通用户来说，访问起来特别麻烦。当初由于是在考研，所以没太在意普通用户访问该文件夹的问题，直到今早看到粉丝的一条评论，然后时间又比较充裕，所以想看下如何解决普通用户访问该文件夹的问题。折腾了一早上，总算是把这个问题解决了，而且解决办法也不难。

解决思路

我的想法是利用手机自带的备份功能来获取到该软件的备份文件，然后再利用其它软件在电脑上把该备份文件解压出来，里面就包含了databases文件夹。接下来我就细说每个步骤。

第一步：备份

找到手机备份的地方，对墨墨进行备份。（以下以小米手机进行演示，其它手机也类似）

备份好后，根据手机的提示，在手机中找出备份文件，并将其复制到电脑中。（小米手机的备份文件路径为：MIUI/backup/AllBackup/中）

下载Winhex

由于小米在备份文件（后缀为bak的文件）头部添加了一段信息，我们需要将其删除才能解压开备份文件，所以需要下载Winhex软件。这是一款和好用的十六进制编辑器，大家可以到该地址下载winhex：

链接: https://pan.baidu.com/s/1ykGUcJb3ysEocQ55v7bOzg?pwd=kvah 
提取码: kvah

下载并解压好后，双击winhex.exe文件，随后点击软件中的选项—>常规设置。

并在打开的窗口中，将以下选项更改成电脑中存在的路径（如果不更改软件会报错）

更改好后，重新打开该软件，并在该软件中打开备份文件（后缀为.bak的文件），并选中41 4E前的数据删除并保存。

（由于软件原因，在提示框的该处为“是”选项，但系统并未显示出来，大家只需要点击该处即可）

修改完可以看到旁边的侧边栏是以ANDROID BACKUP开头。随后就可以保存并关闭该软件了。

使用abe解压备份文件

通过以上步骤，就将该备份文件改为了标准格式的无加密安卓备份文件，接下来我们需要使用abe.jar这个jar包来解压备份文件，该jar包的下载地址如下：

https://github.com/nelenkov/android-backup-extractor/releases/

随后将下载好的abe.jar文件复制到和备份文件同一个目录中，并在该目录中打开cmd。

随后在cmd中输入以下指令：（注意，需要电脑提前安装java，并配置好环境变量）

java -jar abe.jar unpack [需要解压的文件名，带后缀] [解压后的文件名，带后缀]

比如我的解压命令为：

java -jar abe.jar unpack 墨墨背单词(com.maimemo.android.momo).bak mm.zip

将该文件解压后，里面有个db的文件夹，该文件夹就是我们心心念念的databases文件夹了。

至此，我们就获取到了databases文件夹。

结语

研究了一早上的时间才想到用这个办法来获取到databases文件夹，属实不易。如果觉得有用，各位兄弟点个赞和关注一波吧。q(≧▽≦q)

感谢各位的阅读，最后祝各位都能心想事成。\^o^/

1 日志概述

日志对于安全来说，非常重要，他记录了系统每天发生的各种各样的事情，你可以通过他来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。日志主要的功能有：审计和监测。他还可以实时的监测系统状态，监测和追踪侵入者等等。

1.1 日志的分类

对于linux系统，日志一般存放在/var/log目录下。打开CentOS终端编辑器，输入cd /var/log进入到log目录下，可以查看有哪些日志文件。

日志文件大致可以分为三类：

• 1）系统日志；
• 2）登录日志；
• 3）程序日志。

不同版本的系统对各日志存放路径及文件名不尽相同，Linux系统常用日志文件及其存放信息如下：

• /var/log/messages：记录linux内核消息及各种应用程序的公共日志消息，包括启动、I/O错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获取相关的时间记录信息。使用命令 cat /var/log/messages 查看系统日志内容如下。
  
• /var/log/secure：安全相关,主要是用户认证,如登录 、创建和删除账号 、sudo等。使用命令 cat /var/log/secure 查看系统日志内容如下。
  
• /var/log/maillog：邮件相关的日志信息。
• /var/log/boot.log：系统启动日志。能看到启动流程。
• /var/log/cron：计划任务日志。会记录crontab计划任务的创建、执行信息。
• /var/log/dmesg：硬件设备信息(device)。纯文本,也可以用dmesg命令查看。
• /var/log/yum.log：yum软件的日志。记录yum安装、卸载软件的记录。
• /var/log/lastlog：用来记录用户最后登录事件的日志。用lastlog查看(二进制日志文件)
• /var/log/btmp：登录失败的信息(bad)。用lastb查(二进制日志文件)
• /var/log/wtmp：该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件，用last查(二进制日志文件)。
• /var/log/spooler：与UUCP和news设备相关的日志信息。

1.2 日志管理服务 rsyslog

那么日志为什么会记录在上述1.1节中的那些文件中，什么样的日志就会被记录呢？这些都是根据日志管理服务配置文件rsyslog.conf来进行管理的。那么下面将主要介绍下日志管理服务配置文件rsyslog.conf。
（1）作用：主要用来管理日志采集。

（2）存放路径：日志管理服务配置文件文件存放在/etc目录下。

（3）查看：使用命令 vim /etc/rsyslog.conf 打开日志管理配置文件并编辑。配置文件中主要有以下内容：

• 1）规定是否开放TCP或UDP以及其端口号；
• 2）规定全局指示，包括时间戳、对所有日志设置默认权限、指定脱机与状态文件目录、指定所有配置文件所在目录/etc/rsyslog.d/。
• 3）规定哪些服务哪些级别的日志保存到哪个文件中。
  

（4）具体内容如下：

# rsyslog configuration file

# For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html

#### MODULES ####

# The imjournal module bellow is now used as a message source instead of imuxsock.
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imjournal # provides access to the systemd journal
#$ModLoad imklog # reads kernel messages (the same are read from journald)
#$ModLoad immark  # provides --MARK-- message capability

# Provides UDP syslog reception
#$ModLoad imudp
#$UDPServerRun 514

# Provides TCP syslog reception
#$ModLoad imtcp
#$InputTCPServerRun 514


#### GLOBAL DIRECTIVES ####

# Where to place auxiliary files
$WorkDirectory /var/lib/rsyslog

# Use default timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# File syncing capability is disabled by default. This feature is usually not required,
# not useful and an extreme performance hit
#$ActionFileEnableSync on

# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/*.conf

# Turn off message reception via local log socket;
# local messages are retrieved through imjournal now.
$OmitLocalLogging on

# File to store the position in the journal
$IMJournalStateFile imjournal.state


#### RULES ####

# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog


# Log cron stuff
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
*.emerg                                                 :omusrmsg:*

# Save news errors of level crit and higher in a special file.
uucp,news.crit                                          /var/log/spooler

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log


# ### begin forwarding rule ###
# The statement between the begin ... end define a SINGLE forwarding
# rule. They belong together, do NOT split them. If you create multiple
# forwarding rules, duplicate the whole block!
# Remote Logging (we use TCP for reliable delivery)
#
# An on-disk queue is created for this action. If the remote host is
# down, messages are spooled to disk and sent when it is up again.
#$ActionQueueFileName fwdRule1 # unique name prefix for spool files
#$ActionQueueMaxDiskSpace 1g   # 1gb space limit (use as much as possible)
#$ActionQueueSaveOnShutdown on # save messages to disk on shutdown
#$ActionQueueType LinkedList   # run asynchronously
#$ActionResumeRetryCount -1    # infinite retries if host is down
# remote host is: name/ip:port, e.g. 192.168.0.1:514, port optional
#*.* @@remote-host:514
# ### end of the forwarding rule ###

（5）rsyslog.conf文件的解读：#开头的为注释，黑色的为有效行。




tips:
当.后面写 none时代表什么都不记录

1.3 日志事件级别划分

CentOS系统中，可以查询命令 man rsyslog.conf 获得日志事件级别划分内容，在Kali中暂未找到相关内容。日志事件级别如下（以最不严重到最严重的排列顺序）：

• debug：有调试信息的，日志通信最多
• info：一般信息日志，最常用
• notice：最具有重要性的普通条件的信息
• warning(warn)：警告级别
• err(error)：错误级别，阻止某个功能或者模块不能正常工作的信息
• crit：严重级别，阻止整个系统或者整个软件不能正常工作的信息
• alert：需要立刻修改的信息
• emerg(panic)：内核崩溃等重要信息
  

2 日志异地备份

日志的异地备份也称为日志服务器的建立。当黑客通过密码爆破远程登录某靶机，黑客可能首先会清理登录日志，导致管理员很难发现。因此，对于日志，进行异地备份是非常重要的。

2.1 远程登录服务器并删除日志

（1）首先在CentOS上开启跟踪日志，输入命令tail -f /var/log/secure
（2）攻击者可以通过Telnet或SSH等方式远程登录服务器；
（3）登录后将其登录日志删除，如采用 echo “” > /var/log/secure 等命令可以清空日志。
（4）服务器管理员无法根据日志内容，判断主机是否有被远程操控。

2.2 日志的异地备份/日志服务器的建立

（1）对于需要备份日志的服务器，如WEB服务器等，需要完成以下操作：

• 在/etc/rsyslog.conf中定义什么服务什么级别的日志要发，以什么协议发给哪个IP哪个端口。如在/etc/rsyslog.conf文件中的“begin forwarding rules模块”中添加代码authpriv.* @@192.168.1.1:514表示将登录服务的所有级别日志以TCP协议发给192.168.1.1的514端口，其中@@表示以TCP协议发。
• 关闭防火墙对数据的拦截或加密，如果不关闭，很可能服务器与日志备份服务之间的通信会出问题。
• 临时关闭selinux（加强型防火墙）服务。输入命令setenforce 0关闭该服务，不然可能系统会对日志文件强制加锁，导致日志发不出去
• 重启服务 service rsyslog restart 。由于/etc/rsyslog.conf文件不会立即生效，需要重启下服务，才能生效。

tips:
SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。
setenforce是Linux的selinux防火墙配置命令 执行setenforce 0 表示临时关闭selinux防火墙。
setenforce命令是单词set(设置)和enforce(执行)连写，另一个命令getenforce可查看selinux的状态

（2）对于日志备份服务器，需要完成以下操作：

• 在/etc/rsyslog.conf中定义以什么协议接收哪个端口日志、定义接收谁的日志存放到哪。
  ①首先在/etc/rsyslog.conf文件中的“MODULES模块”中将下图两行代码的注释去掉，这两行代码定义了若别人给我发数据时用udp协议及端口号514接收。
  ②在/etc/rsyslog.conf文件中的“begin forwarding rules模块”增加代码 :fromhost-ip, isequal, “172.16.1.254” /var/log/client/172.16.1.254.log，接收到来自主机172.16.1.254的数据时存入/var/log/client/172.16.1.254.log中。
  

• 重启服务： service rsyslog restart 。

• 查询开启端口： ss -antpl | grep 514 ，其中ss表示查询已开启端口号、a表示所有、n表示不用尝试解析服务名称、t表示TCP协议、p表示process进程、l表示监听状态、grep 514表示按514过滤。（也可以采用netstat -antpl | grep 514命令）。

3 总结

（1）掌握各种主要日志的存放位置；
（2）能够读懂日志管理服务配置文件rsyslog.conf，并了解日志管理服务配置文件rsyslog.conf的简单配置；
（3）了解日志的级别；
（4）了解日志异地备份的方法。

参考文章

[1]《Linux系统日志管理》
[2] 《Kali Linux系统日志管理及日志备份服务器》
[3] 《setenforce用法》
[4] 视频传送门