总结&备忘:history记录的时间

最近工作中遇到一些疑似黑客入侵的案例:

客户在阿里云上购买了ECS云服务器作为应用服务器,应用运行中收到了阿里云来的异地IP登录警告短信,提示有可能登录密码已被黑客攻破

于是找到我们服务商帮忙分析处理

正常来说我们会先建议看是看该IP是否还在登录,如在就立刻kill掉其登陆会话

[root@iZ9408690vwZ ~]# who

root     tty1         2016-06-28 00:08

root     pts/0        2016-06-28 00:02 (223.73.58.208)

diyu     pts/1        2016-06-28 00:16 (116.23.247.151)

root     pts/2        2016-06-28 01:32 (223.73.58.208)

[root@iZ9408690vwZ ~]# ps

  PID TTY          TIME CMD

14245 pts/2    00:00:00 bash

14282 pts/2    00:00:00 ps

然后就让客户加固一下安全配置(换ssh端口,去除ssh弱算法支持,更换复杂度高一些的密码...)

最后就看异地登录者干了些什么,于是用了history命令打算查看该IP在相应的登录时间里操作了什么命令(当然也有可能已被黑客篡改)

[root@iZ9408690vwZ ~]# last

root     pts/2        223.73.58.208    Tue Jun 28 01:32   still logged in   

diyu     pts/2        116.23.247.151   Tue Jun 28 00:41 - 01:08  (00:26)    

diyu     pts/2        116.23.247.151   Tue Jun 28 00:28 - 00:41  (00:12)    

diyu     pts/2        116.23.247.151   Tue Jun 28 00:27 - 00:28  (00:00)    

diyu     pts/2        116.23.247.151   Tue Jun 28 00:27 - 00:27  (00:00)    

diyu     pts/2        116.23.247.151   Tue Jun 28 00:18 - 00:27  (00:08)   

[root@iZ9408690vwZ ~]# history

    7  telnet 127.0.0.1 1234

    8  ls

    9  service iptables status

   10  icmp-type

   11  service iptables status

   12  service iptables restart

   13  service iptables status

   14  iptables -t nat -F

   15  service iptables status

   16  service iptables save

可见客户没设置bash里历史记录的时间

开启bash的历史记录的时间记录方法为:

在用户配置文件中加入命令:

export HISTTIMEFORMAT="`whoami` : %F %T :"

配置了该环境变量后的history输出为:

[root@iZ9408690vwZ ~]# history

   10  root : 2016-06-28 01:32:29 :icmp-type

   11  root : 2016-06-28 01:32:29 :service iptables status

   12  root : 2016-06-28 01:32:29 :service iptables restart

   13  root : 2016-06-28 01:32:29 :service iptables status

   14  root : 2016-06-28 01:32:29 :iptables -t nat -F

   15  root : 2016-06-28 01:32:29 :service iptables status

   16  root : 2016-06-28 01:32:29 :service iptables save

...

 1006  root : 2016-06-28
01:32:29 :history

 1007  root : 2016-06-28
01:32:29 :ps

 1008  root : 2016-06-28
02:00:20 :export HISTTIMEFORMAT="`whoami` : %F %T :"

 1009  root : 2016-06-28 02:00:23 :history

这样一来就有用户和执行时间显示了,但留意到执行设置该环境变量前的记录都为登录时间

这是因为之前的都在没设置该环境变量时的记录,在~/.bash_history里就没存相应的执行时间数据

#1467043141

less /var/log/messages

#1467043359

logout

#1467043373

export HISTTIMEFORMAT="`whoami` : %F %T :"

#1467043375

history 
设置该环境变量后的历史记录前会多出一个时间戳的数据

以上只针对bash类型的shell, history是具体的shell里实现的

其他类型的shell: sh,tcsh,ksh