主页 / server / 问题 / 796676
Accepted
I'll-Be-Back
Asked: 2016-08-14 11:21:05 +0800 CST

获取操作/命令历史日志？

  • 772

服务器管理网站控制服务器。例如，我按下保存按钮，然后将更新 Linux 服务器上的配置。它登录到服务器，然后更新配置文件。

验证日志示例：

Aug 13 20:07:19 ladev sshd[14141]: pam_unix(sshd:session): session opened for user root by (uid=0)
Aug 13 20:07:19 ladev systemd: pam_unix(systemd-user:session): session opened for user root by (uid=0)
Aug 13 20:07:19 ladev systemd-logind[1426]: New session 235 of user root.
Aug 13 20:07:19 ladev sshd[14141]: Received disconnect from 10x.236.2xx.xxx port 50291:11: disconnected by user
Aug 13 20:07:19 ladev sshd[14141]: Disconnected from 10x.236.2xx.xxx port 50291
Aug 13 20:07:19 ladev sshd[14141]: pam_unix(sshd:session): session closed for user root
Aug 13 20:07:19 ladev systemd-logind[1426]: Removed session 235.
Aug 13 20:07:20 ladev sshd[14186]: Accepted publickey for root from 10x.236.2xx.xxx port 50292 ssh2: RSA SHA256:xxxxxxxxxxxxxxxxxxxxx

我如何找出它在做什么来更新文件以及它正在使用什么命令？

还有一种方法可以找出它使用的是什么 SSH 客户端？

bash_history它在andhistory命令中不可用

编辑：我不拥有的服务器管理网站不在同一台服务器上。

linux ssh audit

1 个回答

  1. Best Answer

    如果我有任何误解，我深表歉意，但您的问题很难阅读。

    如果您没有审核设置，那么您将不会记录您想要的信息。来自 sshd 的日志记录也是如此 - 您需要确保 sshd 在发生某事之前而不是之后记录信息。

    搜索 serverfault 以获取有关配置 auditd 的信息。您将需要它来查看正在执行的命令。

    https://serverfault.com/search?q=auditd

    并阅读 OpenSSH 的手册页以更改 sshd 日志记录/调试。您将需要它来尽可能多地获取有关 ssh 连接的信息。

    $ man sshd_config
    • 1

相关问题