Come posso SSH e rimuovere tutta la cronologia delle attività SSH precedente?

Voglio rimuovere tutti i registri delle attività per SSH in remoto. Come ci arrivo?

Il mio account sul server remoto non ha il privilegio di amministratore e come tale voglio solo rimuovere i record di connessione da utente a utente.

ssh history

— Oxwivi
fonte

Sembra sospetto. :)

— Richard Holloway il

@Richard, certo che lo fa, ma ciò che sembra più sospetto è l'eliminazione di tutto piuttosto che l'eliminazione dei dati della sessione corrente.

— Oxwivi,

per quanto riguarda l'aggiornamento: non succederà. Se l'amministratore è degno di nota, tutti i registri sono leggibili in tutto il mondo ma non modificabili da nessuno diverso dall'amministratore (ovvero sono richieste le autorizzazioni root o sudo).

— Rinzwind,

@Rinzwind, nulla viene salvato nella directory utente stessa? Nella .sshdirectory o qualcosa del genere, ad esempio.

— Oxwivi,

I comandi che hai emesso quando hai accesso saranno nel tuo file di cronologia bash. Questo è tutto ciò che mi viene in mente.

— Rinzwind,

Risposte:

La risposta a ciò si trova in sshd.conf e sshd_config(server) e ssh_config(client). A seconda del livello di log che registra /var/log/syslog(predefinito) e / o /var/log/auth.log(loglevel 'verbose' contiene tentativi di accesso ssh).

Se presente /var/log/securecontiene anche un registro di accesso.

Avrai bisogno root/sudo accesso per modificare uno di questi file: saranno leggibili da una parola ma non modificabili dal mondo.

Accanto a quello. Oltre al login dal demone ssh il comando lastmostra anche accessi (non riusciti) da ssh. Le informazioni per questo comando provengono da/var/log/wtmp (ci saranno molte altre scommesse).

E c'è anche la probabilità che il sysadmin sia installato auditdo che logwatchrenda praticamente impossibile nascondere l'attività poiché potrebbero ottenere un avviso basato sull'attività che annulla la registrazione dell'attività ssh impossibile.

Esempio di /var/log/auth.log:

10 ago 10:10:10 rinzwind sshd [3653]: testo utente non valido da {ipadress}
10 ago 10:10:10 rinzwind sshd [3653]: eccesso di autorizzazione o cattiva proprietà sul file / var / log / btmp
10 ago 10:10:10 rinzwind sshd [3653]: errore: impossibile ottenere informazioni sull'ombra per NOUSER
10 ago 10:10:10 rinzwind sshd [3653]: password non riuscita per test utente non valido dalla porta {ipadress} {porta} ssh2
10 ago 10:10:10 rinzwind sshd [3653]: eccesso di autorizzazione o cattiva proprietà sul file / var / log / btmp

— Rinzwind
fonte

Domanda aggiornata.

— Oxwivi,

A proposito, che tipo di dati viene registrato quando si verifica la connessione SSH? Indirizzo IP certo, ma cos'altro?

— Oxwivi,

Nessun nome utente registrato?

— Oxwivi,

Vorresti guardare /var/log/messagese / o /var/log/syslog.

— Justin Andrusk
fonte