Como SSH e removo todo o histórico de atividades SSH anterior?

8

Desejo remover todo e qualquer registro de atividade do SSH remotamente. Como eu chego a isso?

Minha conta no servidor remoto não tem privilégios de administrador e, como tal, só quero remover os registros de conexão de usuário para usuário.

ssh history Oxwivi
fonte
24
Isso parece suspeito. :)
Richard Holloway
11
@ Richard, com certeza, mas o que parece mais suspeito é excluir tudo, em vez de excluir apenas os dados da sessão atual.
precisa saber é o seguinte
11
sobre atualização: não vai acontecer. Se o administrador vale a pena, todos os logs são legíveis pelo mundo, mas não podem ser editados por nenhum outro que não seja o administrador (por exemplo, permissões de root ou sudo necessárias).
Rinzwind
@Rinzwind, nada é salvo no próprio diretório do usuário? No .sshdiretório ou algo assim, por exemplo.
precisa saber é o seguinte
3
Os comandos emitidos quando você tiver acesso estarão no seu arquivo de histórico do bash. É tudo o que consigo pensar.
Rinzwind

Respostas:

18

A resposta para isso está no sshd.conf e sshd_config(servidor) e ssh_config(cliente). Dependendo do nível do log, ele efetua logon /var/log/syslog(padrão) e / ou /var/log/auth.log( o nível de log 'detalhado' contém tentativas de logon ssh).

Se presente /var/log/securetambém contém um log de acesso.

Você precisará root/ terá sudoacesso para editar qualquer um desses arquivos: eles serão legíveis por palavras, mas não editáveis ​​pelo mundo.

Ao lado disso. Além do login no daemon ssh, o comando lasttambém mostra os logins (com falha) do ssh. A informação para este comando vem /var/log/wtmp(Haverá mais que eu aposto).

E também há a probabilidade do administrador de sistemas instalar auditdou logwatchtornar praticamente impossível ocultar a atividade, pois eles podem receber um aviso com base na atividade que desfaz o registro da atividade ssh.

Exemplo de /var/log/auth.log:

10 de agosto 10:10:10 rinzwind sshd [3653]: Texto de usuário inválido de {ipadress}
10 de agosto 10:10:10 rinzwind sshd [3653]: Excesso de permissão ou propriedade incorreta no arquivo / var / log / btmp
10 de agosto 10:10:10 rinzwind sshd [3653]: erro: Não foi possível obter informações de sombra para NOUSER
10 de agosto 10:10:10 rinzwind sshd [3653]: Falha na senha do teste de usuário inválido da porta {ipadress} port {port} ssh2
10 de agosto 10:10:10 rinzwind sshd [3653]: Excesso de permissão ou propriedade incorreta no arquivo / var / log / btmp
Rinzwind
fonte
Pergunta atualizada.
Oxwivi 18/08/11
A propósito, que tipo de dados é registrado quando a conexão SSH ocorre? Endereço IP, com certeza, mas o que mais?
precisa saber é o seguinte
Nenhum nome de usuário registrado?
Oxwivi 18/08/11
1

Você gostaria de olhar /var/log/messagese / ou /var/log/syslog.

Justin Andrusk
fonte