[RHEL5] Alle SSH-commando's serverside loggen

[Verwijderd]

Is het mogelijk om alle commando's serverside te laten loggen?
Dit staat onder andere in .bash_history.
Echter gaat dat vaak mis, zeker met meerdere ingelogde gebruikers tegelijk.

Ik speel nu met de 'psacct'-service. Echter geeft deze nou ook niet precies de totale commmando's, deze geeft alleen aan dat het commando 'rm' gebruikt is.
Het liefste heb ik gewoon een lijst van:

code:

rm -f /var/www/html/index.html
> /root/nanofile
cat /root/nanofile
rdate -s ntp.demon.nl

Ik wil indien SWSoft aan mijn server werkt, graag zien wat ze daadwerkelijk aan het bekijken en doen zijn.

[BarthezZ]

Mogelijkheid zou zijn een screen sessie als shell neer te gooien en die te laten loggen of evt. zelf attachen zodat je in zou kunnen grijpen

[MrBarBarian]

Ik vind je beweegreden wat dubieus, maar 'script' kan je helpen..

En ik zou het zeker even melden (bijv dmv issue) dat comando's gelogd worden

[capedro]

MrBarBarian schreef op dinsdag 20 mei 2008 @ 19:17:
Ik vind je beweegreden wat dubieus, maar 'script' kan je helpen..

En ik zou het zeker even melden (bijv dmv issue) dat comando's gelogd worden

code:

user@linux:~> script -a /tmp/userlog/user-20080520.log
Script started, file is /tmp/userlog/user-20080520.log
user@linux:~>

[DGTL_Magician]

Ik heb vroeger een versie van de bash shell geforked die dat deed. Was een buitenschoolse opdracht voor school
Volgens mij heb ik die code niet meer en anders is dat toch al een Bash van +- 9/10 jaar oud.

[0xDEADBEEF]

Verwijderd schreef op dinsdag 20 mei 2008 @ 17:52:
Echter gaat dat vaak mis, zeker met meerdere ingelogde gebruikers tegelijk.

Dat gedeelte heb ik eens als volgt opgelost:
http://www.gnu.org/software/bash/manual/bashref.html:

shopt

shopt [-pqsu] [-o] [optname ...]
(..)
-s
Enable (set) each optname.
(..)
histappend
If set, the history list is appended to the file named by the value of the HISTFILE variable when the shell exits, rather than overwriting the file.
(..)

[cherwin]

Nog een toevoeging:

Whenever displaying the prompt, write the previous line to disk:
PROMPT_COMMAND='history -a'

Dus zet dit in ~/.bashrc:

code:

shopt -s histappend
PROMPT_COMMAND='history -a'

Neem ook eens een kijkje naar de variabelen HISTCONTROL, HISTFILESIZE en HISTTIMEFORMAT (man bash).

Maak ook een logrotate script aan, anders zal het na verloop van tijd te groot worden om nog te overzien. Zorg er ook voor dat gebruikers niet zomaar hun geschiedenis kunnen wissen met "history -c"

[ Voor 65% gewijzigd door cherwin op 22-05-2008 04:56 ]

[tomato]

cherwin schreef op donderdag 22 mei 2008 @ 04:40:
Zorg er ook voor dat gebruikers niet zomaar hun geschiedenis kunnen wissen met "history -c"

Euh ja en hoe zorg je ervoor dat ze ~/.bash_history niet kunnen aanpassen?

Is al genoemd, maar ik zou wel even netjes overleggen met de inloggende partij. Ik zou het in ieder geval niet accepteren als dit 'stiekem' gebeurt.

[psyBSD]

code:

ln -s /dev/null ~/.bash_history

edit:

Om even aan te geven dat dit volgens mij allemaal niet gaat werken, als je echt een key-logger wilt moet je bash even patchen, compilen en installeren als batch_secure (ofzo) en die als default-shell instellen voor je gebruikers.

[ Voor 69% gewijzigd door psyBSD op 22-05-2008 12:04 ]

[Verwijderd]

tomato schreef op donderdag 22 mei 2008 @ 09:21:
[...]

Euh ja en hoe zorg je ervoor dat ze ~/.bash_history niet kunnen aanpassen?

Is al genoemd, maar ik zou wel even netjes overleggen met de inloggende partij. Ik zou het in ieder geval niet accepteren als dit 'stiekem' gebeurt.

Als je als root dit doet chattr +a .bash_history dan is het onmogelijk voor een niet root gebruiker om nog rare dingen met dit bestand uit te halen.

[tomato]

Verwijderd schreef op donderdag 22 mei 2008 @ 15:53:
Als je als root dit doet chattr +a .bash_history dan is het onmogelijk voor een niet root gebruiker om nog rare dingen met dit bestand uit te halen.

Ik vraag me af of Bash daar blij mee is.

Hoe dan ook, het blijven allemaal trucs, waterdicht krijg je het op deze manier niet. Je kunt altijd je commando's in een shell scriptje gooie en dat uitvoeren bijvoorbeeld. Minder kunstmatig voorbeeld (en zonder opzet) is een gebruiker die 99% van zijn taken vanuit emacs uitvoert.

[Boudewijn]

En screen, hoe zou zo'n oplossing daarmee omgaan?

[igmar]

Zie oa ttyrpld. Er zijn er meer te vinden (oa ttysnoop), en wat beter is hangt van de toepassing af.