Como SSH e removo todo o histórico de atividades SSH anterior?

Desejo remover todo e qualquer registro de atividade do SSH remotamente. Como eu chego a isso?

Minha conta no servidor remoto não tem privilégios de administrador e, como tal, só quero remover os registros de conexão de usuário para usuário.

ssh history

— Oxwivi
fonte

Isso parece suspeito. :)

— Richard Holloway

@ Richard, com certeza, mas o que parece mais suspeito é excluir tudo, em vez de excluir apenas os dados da sessão atual.

— precisa saber é o seguinte

sobre atualização: não vai acontecer. Se o administrador vale a pena, todos os logs são legíveis pelo mundo, mas não podem ser editados por nenhum outro que não seja o administrador (por exemplo, permissões de root ou sudo necessárias).

— Rinzwind

@Rinzwind, nada é salvo no próprio diretório do usuário? No .sshdiretório ou algo assim, por exemplo.

— precisa saber é o seguinte

Os comandos emitidos quando você tiver acesso estarão no seu arquivo de histórico do bash. É tudo o que consigo pensar.

— Rinzwind

Respostas:

A resposta para isso está no sshd.conf e sshd_config(servidor) e ssh_config(cliente). Dependendo do nível do log, ele efetua logon /var/log/syslog(padrão) e / ou /var/log/auth.log( o nível de log 'detalhado' contém tentativas de logon ssh).

Se presente /var/log/securetambém contém um log de acesso.

Você precisará root/ terá sudoacesso para editar qualquer um desses arquivos: eles serão legíveis por palavras, mas não editáveis pelo mundo.

Ao lado disso. Além do login no daemon ssh, o comando lasttambém mostra os logins (com falha) do ssh. A informação para este comando vem /var/log/wtmp(Haverá mais que eu aposto).

E também há a probabilidade do administrador de sistemas instalar auditdou logwatchtornar praticamente impossível ocultar a atividade, pois eles podem receber um aviso com base na atividade que desfaz o registro da atividade ssh.

Exemplo de /var/log/auth.log:

10 de agosto 10:10:10 rinzwind sshd [3653]: Texto de usuário inválido de {ipadress}
10 de agosto 10:10:10 rinzwind sshd [3653]: Excesso de permissão ou propriedade incorreta no arquivo / var / log / btmp
10 de agosto 10:10:10 rinzwind sshd [3653]: erro: Não foi possível obter informações de sombra para NOUSER
10 de agosto 10:10:10 rinzwind sshd [3653]: Falha na senha do teste de usuário inválido da porta {ipadress} port {port} ssh2
10 de agosto 10:10:10 rinzwind sshd [3653]: Excesso de permissão ou propriedade incorreta no arquivo / var / log / btmp

— Rinzwind
fonte

Pergunta atualizada.

— Oxwivi 18/08/11

A propósito, que tipo de dados é registrado quando a conexão SSH ocorre? Endereço IP, com certeza, mas o que mais?

— precisa saber é o seguinte

Nenhum nome de usuário registrado?

— Oxwivi 18/08/11

Você gostaria de olhar /var/log/messagese / ou /var/log/syslog.

— Justin Andrusk
fonte