谁动了我的主机? 之活用History命令

朱雀 2021-07-26 21:02 366阅读 0赞

点击上方“开源Linux”，选择“设为星标”
    回复“学习”获取独家整理的学习资料！

Linux系统下可通过history命令查看用户所有的历史操作记录，在安全应急响应中起着非常重要的作用，但在未进行附加配置情况下，history命令只能查看用户历史操作记录，并不能区分用户以及操作时间，不便于审计分析。

当然，一些不好的操作习惯也可能通过命令历史泄露敏感信息。

下面我们来介绍如何让history日志记录更细化，更便于我们审计分析。

### 1、命令历史记录中加时间 ###

默认情况下如下图所示，没有命令执行时间，不利于审计分析。

![format_png][]

通过设置export HISTTIMEFORMAT='%F %T '，让历史记录中带上命令执行时间。

注意”%T”和后面的”’”之间有空格，不然查看历史记录的时候，时间和命令之间没有分割。

要一劳永逸，这个配置可以写在/etc/profile中，当然如果要对指定用户做配置，这个配置可以写在/home/$USER/.bash\_profile中。

本文将以/etc/profile为例进行演示。

![format_png 1][]

要使配置立即生效请执行source /etc/profile，我们再查看history记录，可以看到记录中带上了命令执行时间。

![format_png 2][]

如果想要实现更细化的记录，比如登陆过系统的用户、IP地址、操作命令以及操作时间一一对应，可以通过在/etc/profile里面加入以下代码实现

export HISTTIMEFORMAT="\%F \%T`who \-u am i 2>/dev/null| awk '{print $NF}'|sed \-e 's/[()]//g'``whoami`

注意空格都是必须的。

![format_png 3][]

修改/etc/profile并加载后，history记录如下，时间、IP、用户及执行的命令都一一对应。

![format_png 4][]

通过以上配置，我们基本上可以满足日常的审计工作了，但了解系统的朋友应该很容易看出来，这种方法只是设置了环境变量，攻击者unset掉这个环境变量，或者直接删除命令历史，对于安全应急来说，这无疑是一个灾难。

针对这样的问题，我们应该如何应对，下面才是我们今天的重点，通过修改bash源码，让history记录通过syslog发送到远程logserver中，大大增加了攻击者对history记录完整性破坏的难度。

### 2、修改bash源码，支持syslog记录 ###

首先下载bash源码，可以从gnu.org下载，这里不做详细说明了，系统需要安装gcc等编译环境。我们用bash4.4版本做演示。

修改源码：bashhist.c

![format_png 5][]

修改源码config-top.h，取消/\#define SYSLOG\_HISTORY/这行的注释

![format_png 6][]

编译安装，编译过程不做详细说明，本文中使用的编译参数为：./configure --prefix=/usr/local/bash，安装成功后对应目录如下：

![format_png 7][]

此时可以修改/etc/passwd中用户shell环境，也可以用编译好的文件直接替换原有的bash二进制文件，但最好对原文件做好备份。

替换时要注意两点:

1、一定要给可执行权限，默认是有的，不过有时候下载到windows系统后，再上传就没有可执行权限了，这里一定要确定，不然你会后悔的；

2、替换时原bash被占用，可以修改原用户的bash环境后再进行替换。

查看效果，我们发现history记录已经写到了/var/log/message中。

![format_png 8][]

如果要写到远程logserver，需要配置syslog服务，具体配置这里不做详细讲解，大家自己研究，发送到远端logserver效果如下图所示。

![format_png 9][]

通过以上手段，可以有效保证history记录的完整性，避免攻击者登录系统后，通过取消环境变量、删除history记录等方式抹掉操作行为，为安全审计、应急响应等提供了完整的原始数据。

*原文链接：https://www.freebuf.com/articles/system/135845.html*

**- End -**

关注「开源Linux」加星标，提升IT技能

[format_png]: /images/20210726/9371e24406f4491c97d4084e40abd6d9.png
[format_png 1]: /images/20210726/acccdd49dc9544b0bb5a61fc8009d24c.png
[format_png 2]: /images/20210726/a5bf1c7ebb38413c9c10caf699791064.png
[format_png 3]: /images/20210726/a48e5203c20f47f6801094e10aff79db.png
[format_png 4]: /images/20210726/fce68a4f2e2e4dfb93c67414775ab426.png
[format_png 5]: /images/20210726/32a2e97c23e14545b3289d59b3c49434.png
[format_png 6]: /images/20210726/0ffacb5ebf0b42e3b40b41431fb1c7ec.png
[format_png 7]: /images/20210726/00ce7d6170e243b6b8bd8c22e4ef336d.png
[format_png 8]: /images/20210726/8e8c7f6e619d47d1af2235627b3222ac.png
[format_png 9]: /images/20210726/25d8a71b96bf44eaaa7b5a260df91e16.png