内网渗透之Linux痕迹清理

历史命令记录清理

history命令清除记录

rm .bash_history删除history文件清除记录

HISTSIZE=0设置历史记录命令条数清除记录

vim隐藏执行命令：

命令模式设置vim不记录历史命令set history=0

命令模式执行命令!command ip a

进入用户目录cat .viminfo（无命令记录）

永不保存历史命令记录：

sudo nano /etc/profile

加入HISTSIZE=0

系统日志清理 

/var/run/utmp 记录现在登入的用户

/var/log/wtmp 记录用户所有的登入和登出

/var/log/lastlog 记录每一个用户最后登入时间

/var/log/btmp 记录错误的登入尝试

/var/log/auth.log 需要身份确认的操作

/var/log/secure 记录安全相关的日志信息

/var/log/maillog 记录邮件相关的日志信息

/var/log/message 记录系统启动后的信息和错误日志

/var/logcron 记录定时任务相关的日志信息

/var/log/spooler 记录UUCP和news设备相关的日志信息

/var/log/boot.log 记录守护进程启动和停止相关的日志信息

清空文件内容操作：

cat /dev/null > filename将空写入文件

: > filename

> filename

echo "" > filename

echo > filename

清空文件的四外信息：

echo > /cat/log/btmp(文件路径)

sudo lastb查看登录信息

删除或替换部分日志信息

删除所有匹配的字符串的行，比如以当天日期或者自己的登录IP:'sed -i '/IP或日期/'d /var/log/messages'

全局替换登录IP地址：'sed -i 's/192.168.88.8/192.168.1.1/g' /var/log/secure'

Web日志清理

替换日志中记录的IP地址：'sed -i 's/192.168.88.8/192.168.1.1/g' /var/log/nginx/access.log'

清除部分相关日志：

使用grep -v删除相关信息

cat /var/log/nginx/access.log | grep -v evil.php > tmp.log

把修改过的日志覆盖到原日志文件

cat tmp.log > /var/log/nginx/access.log/

ssh登录记录隐藏

隐身登录系统，不会被w、who、last等命令检测到：

ssh -T root@192.168.88.8 /bin/bash -i

不记录SSH公钥在本地'~/.ssh'目录中：

ssh -o UserKnownHostsFile=/dev/null -T user@host /bin/bash -i

文件时间伪造

ls -al查看文件创建时间和日期

touch -r 修改文件时间

touch test.txt -r test1.txt

stat查看文件访问时间

文件安全擦除

shred:

shred -f -u -z -v -n 5 test.txt

-f 必要时修改权限以使目标可写

-u 覆盖后截断并删除文件

-z 最后一次使用0进行复写以隐藏覆写操作

-v 显示详细信息

wipe：

wipe test.txt