syslog记录history(转载)

最新推荐文章于 2024-09-12 22:54:45 发布

weixin_33911824

最新推荐文章于 2024-09-12 22:54:45 发布

阅读量155

点赞数

文章标签： shell 运维 java

原文链接：http://blog.51cto.com/mlrose/988662

版权

工作中可能会有无聊的***在你服务器上转悠，***智商都不错，所有离开的时候就会删除history记录。怎么办才能记录下用户的历史记录呢？

原理：将history记录到syslog上面，并实时的传送到了远端的日志集中服务器上。

方法：使用bash4.1的新功能：历史命令保存到syslog！然后使用syslog-ng构建集中型日志服务器收集主机日志。

1、下载bash：

#wget http://ftp.gnu.org/gnu/bash/bash-4.2.tar.gz
#tar zxvf bash-4.2.tar.gz –C /tmp/bash-4.2
#cd /tmp/bash-4.2

2、修改源码

(根据个人需要，我只保留了pid，uid，sid等，参数请看目录下的shell.c中)：
文件bashhist.c大约708行的位置开始，修改成以下一段：

     syslog  
    (SYSLOG_FACILITY 
    |SYSLOG_LEVEL 
    ,  
    "HISTORY: PID=%d PPID=%d SID=%d  User=%s CMD=%s" 
    , getpid 
    ( 
    ) 
    , getppid 
    ( 
    ) 
    , getsid 
    (getpid 
    ( 
    ) 
    ) 
    ,  current_user. 
    user_name 
    ,line 
    ) 
    ; 
    
 
    else 
    
 
    { 
    
 strncpy  
    (trunc 
    , line 
    , SYSLOG_MAXLEN 
    ) 
    ; 
    
 trunc 
    [SYSLOG_MAXLEN  
    -  
    1 
    ]  
    =  
    '\0' 
    ; 
    
 syslog  
    (SYSLOG_FACILITY 
    |SYSLOG_LEVEL 
    ,  
    "HISTORY (TRUNCATED): PID=%d  PPID=%d SID=%d User=%s CMD=%s" 
    , getpid 
    ( 
    ) 
    , getppid 
    ( 
    ) 
    , getsid 
    (getpid 
    ( 
    ) 
    ) 
    , current_user. 
    user_name 
    , trunc 
    ) 
    ; 
    
 
    } 
   

注：
ppid：跟踪sh切换后的用户
Sid：跟踪 su 切换后的用户
第二段代表log长度超过600后使用的语句
修改config-top.h文件

 
    /*#define SYSLOG_HISTORY*/ 
    
 修改为 
    
    #define SYSLOG_HISTORY

编译安装
# ./configure --prefix=/usr/local/bash_4.2 && make && make install
修改用户配置：
将用户的bash换成现在的bash4.2
# vi /etc/passwd
dongwm:x:501:501::/home/dongwm:/usr/local/bash_4.2/bin/bash
这样日志就会记在/var/log/messages
结果类似这样：

     Dec  
    23  
    17: 
    40: 
    28 server -bash: HISTORY:  
    PID= 
    4089  
    PPID= 
    4088  
    SID= 
    4089  
    User=dongwm 
    CMD= 
    exit 
    
 Dec  
    23  
    17: 
    41: 
    47 server -bash: HISTORY:  
    PID= 
    4282  
    PPID= 
    4278  
    SID= 
    4282  
    User=root 
    CMD= 
    exit 
    
 Dec  
    23  
    17: 
    41: 
    53 server -bash: HISTORY:  
    PID= 
    4321  
    PPID= 
    4317  
    SID= 
    4321  
    User=root 
    CMD= 
    ssh java00 
    
 Dec  
    23  
    17: 
    44:09 server -bash: HISTORY:  
    PID= 
    2152  
    PPID= 
    2137  
    SID= 
    2152  
    User=root 
    CMD= 
    vi Clean_javalog.sh 
    
 Dec  
    23  
    17: 
    45: 
    16 server -bash: HISTORY:  
    PID= 
    2152  
    PPID= 
    2137  
    SID= 
    2152  
    User=root 
    CMD= 
    sh Clean_javalog.sh 
    
 Dec  
    23  
    17: 
    45: 
    30 server -bash: HISTORY:  
    PID= 
    2152  
    PPID= 
    2137  
    SID= 
    2152  
    User=root 
    CMD= 
    cat  
    /dev 
    /shm 
    /cleanJavaLog.log 
    
 Dec  
    23  
    17: 
    46:08 server -bash: HISTORY:  
    PID= 
    2152  
    PPID= 
    2137  
    SID= 
    2152  
    User=root 
    CMD= 
    vi Clean_javalog.sh 
    
 Dec  
    23  
    17: 
    48: 
    54 server -bash: HISTORY:  
    PID= 
    2152  
    PPID= 
    2137  
    SID= 
    2152  
    User=root 
    CMD= 
    cat Clean_javalog.sh 
    
 
    
 ...... 
   