☰

Как мне регистрировать команды bash пользователей?

tag-icon • tag-icon security debian
Как мне регистрировать команды bash пользователей?

Я использую сервер Debian Etch, на котором пользователи будут входить в (надеюсь) chroot jail через ssh. Как мне сделать так, чтобы команды, которые они выполняют, регистрировались таким образом, чтобы они не могли их удалить или предотвратить?

решение1

установитьСнупиЕсли вы хотите регистрировать только одного пользователя, выполните фильтрацию системного журнала.

решение2

Я написал метод для записи всех команд/встроенных функций «bash» в текстовый файл или на сервер «syslog» без использования патча или специального исполняемого инструмента.

Его очень легко развернуть, так как это простой скрипт оболочки, который нужно вызвать один раз при инициализации 'bash'. (просто 'source' из .bashrc, например) Он основан на идее использования ловушек bash DEBUG. Смотрите такжеэтот пост на superuser.com

declare -rx HISTCONTROL=""                                  #does not ignore spaces or duplicates
declare -rx HISTIGNORE=""                                   #does not ignore patterns
declare -rx AUDIT_LOGINUSER="$(who -mu | awk '{print $1}')"
declare -rx AUDIT_LOGINPID="$(who -mu | awk '{print $6}')"
declare -rx AUDIT_USER="$USER"                              #defined by pam during su/sudo
declare -rx AUDIT_PID="$$"
declare -rx AUDIT_TTY="$(who -mu | awk '{print $2}')"
declare -rx AUDIT_SSH="$([ -n "$SSH_CONNECTION" ] && echo "$SSH_CONNECTION" | awk '{print $1":"$2"->"$3":"$4}')"
declare -rx AUDIT_STR="[audit $AUDIT_LOGINUSER/$AUDIT_LOGINPID as $AUDIT_USER/$AUDIT_PID on $AUDIT_TTY/$AUDIT_SSH]"
set +o functrace                                            #disable trap DEBUG inherited in functions, command substitutions or subshells, normally the default setting already
shopt -s extglob                                            #enable extended pattern matching operators
function audit_DEBUG() {
  if [ "$BASH_COMMAND" != "$PROMPT_COMMAND" ]               #avoid logging unexecuted commands after 'ctrl-c or 'empty+enter'
  then
    local AUDIT_CMD="$(history 1)"                          #current history command
    if ! logger -p user.info -t "$AUDIT_STR $PWD" "${AUDIT_CMD##*( )?(+([0-9])[^0-9])*( )}"
    then
      echo error "$AUDIT_STR $PWD" "${AUDIT_CMD##*( )?(+([0-9])[^0-9])*( )}"
    fi
  fi
}
function audit_EXIT() {
  local AUDIT_STATUS="$?"
  logger -p user.info -t "$AUDIT_STR" "#=== bash session ended. ==="
  exit "$AUDIT_STATUS"
}
declare -fr +t audit_DEBUG
declare -fr +t audit_EXIT
logger -p user.info -t "$AUDIT_STR" "#=== New bash session started. ===" #audit the session openning
#when a bash command is executed it launches first the audit_DEBUG(),
#then the trap DEBUG is disabled to avoid a useless rerun of audit_DEBUG() during the execution of pipes-commands;
#at the end, when the prompt is displayed, re-enable the trap DEBUG
declare -rx PROMPT_COMMAND="trap 'audit_DEBUG; trap DEBUG' DEBUG"
declare -rx BASH_COMMAND                                    #current command executed by user or a trap
declare -rx SHELLOPT                                        #shell options, like functrace
trap audit_EXIT EXIT

см. подробное описание метода здесь: http://blog.pointsoftware.ch/index.php/howto-bash-audit-command-logger

привет Франсуа Шойрер

решение3

Вы можете попробоватьttyrpld. Это больше, чем вам нужно, потому что он будет регистрировать весь tty.
Я сам им не пользовался, но то, как он работает (в ядре), делает так, что пользователь не может изменять логи.

решение4

Вы можете включить аудит системы.

Связанный контент