Как посмотреть историю какие команды выполнялись от имени sudo (root-а) на linux?

Question

[by_EL]

Где то читал что какие команды мы запускаем от имени sudo,то запуск этой команды регистрируется лог файле. Но я не помню этот файл. Пожалуйста помогите.

Answer 1

[galaxy]

В убунте (наверно, и в debian) пишется в /var/log/auth.log:

Nov 25 01:12:08 host.domain sudo:   galaxy : TTY=pts/1 ; PWD=/home/user ; USER=root ; COMMAND=/bin/bash

В других системах могут писать в другие файлы (/var/log/secure.log и пр.) или в syslog.

Тут написано, как логировать ввод и вывод команд, что позволяет смотреть даже, что делалось после sudo su -

Comments

[by_EL]

Спасибо galaxy ,А какое команда выполнялось показывается точно ?

[galaxy]

Проверьте. Я пример лога брал у себя с сервера

Answer 2

[Михаил Васильев]

~/. bash_history

Comments

[by_EL]

Михаил Васильев мне нужено увидеть что какие пользователи выполняли команды от имени рута, и на этом файле указывается время запуска и TTY PTY ???

[Михаил Васильев]

by_EL, по умолчанию нет.
Если только добавить в .bashrc такую команду:
export HISTTIMEFORMAT=»%h/%d-%H:%M:%S «

[by_EL]

Михаил Васильев, не знаю но где то читал что все команды выполненные через sudo регистрируется но точно не знаю какой лог файл был это ,Не помню -но точно читал

[by_EL]

Михаил Васильев ?

[Михаил Васильев]

by_EL, ничего не мешает, человеку с sudo ввести su - и перейти в рута.
В общем, такого файла отдельного нет.

[by_EL]

Михаил Васильев но возможно Если отключен рут как в Ubuntu

[Михаил Васильев]

by_EL, в Убунте по умолчанию запрещен доступ по ssh руту, но сам рут никуда не отключен.
Пользователь с правами судо соединяется с сервером от своего пользователя, потом вводит su - и становится рутом.

Answer 3

[Fenrir89]

/root/.bash_history

Comments

[by_EL]

на этом файле отображаются все команды и какие пользователи выполняли команду от имени рута ?

[by_EL]

Fenrir89 ?

[Fenrir89]

Нет только история команд выполненных от рута, но этот файл существует и у других пользователей можно их посмотреть на предмет выполнения sudo или su, хотя вряд ли там это будет записано, так как эти команда переключают пользователя на рут и история будет записыватся в лог рута

[Fenrir89]

Еще как вариант посмотреть /home/user/.sh_history

[rPman]

этот файл содержит только те команды, которые пользователь ввел в терминал
этот файл полностью доступен на редактирование пользователю
пользователь может добавить пробел перед командой в терминале и тогда она не будет записана в этот файл

нельзя этот файл использовать как инструмент логирования безопасности.

[Fenrir89]

rPman, если пользователь смог выполнить команды из под рута, он мог и все остальные логи почистить

[rPman]

Fenrir89, sudo может быть сильно ограниченным, вообще то его применение выходит дальше чем примитивный sudo -i, можно настроить кому когда что запускать с какими ключами.