Linux系统下通过bash配置文件的方式将用户执行的命令写入syslog

注，如用户的shell是/bin/sh，需要将其修改为/bin/bash!! usermod -s /bin/bash 用户名

kali Linux系统对应的配置文件是/etc/bash.bashrc，不同发行版本可能不同

步骤一：vi /etc/bashrc 　增加如下：

HISTFILESIZE=2000

HISTSIZE=2000

HISTTIMEFORMAT="%Y%m%d-%H%M%S: "

export HISTTIMEFORMAT

#export PROMPT_COMMAND='{ command=$(history 1 | { read x y; echo $y; }); logger -p local1.notice -t bash -i "user=$USER,ppid=$PPID,from=$SSH_CLIENT,pwd=$PWD,command:$command"; }'

export PROMPT_COMMAND='{ ip=$(who -u am i | { read x y z a b c d ; echo $d; });command=$(history 1 | { read x y; echo $y; }); logger -p local1.notice -t bash -i "user=$USER,ppid=$PPID,from=$ip,pwd=$PWD,command:$command"; }'

步骤二：修改/etc/syslog.conf 或/etc/rsyslog.conf 增加local1.notice @syslog主机地址  或*.* @syslog主机地址。重启syslog 服务

步骤三：退出当前shell，再次登陆即可记录。

目前可实现的效果：

1.所有的指令不管错误与否均可记录。且包含源IP(本地登陆除外)、当前目录

2.所有可登陆bash的用户指令均可记录。且包含源IP(本地登陆除外)、当前目录

目前测试了两种系统Redhat 及Centos，版本信息如下：

１.Read hat:  Red Hat Enterprise Linux Server release 6.0 (Santiago)  

内核：2.6.32-71.el6.i686　bash版本：GNU bash, version 4.1.2(1)-release (i386-redhat-linux-gnu)

２.Centos :   CentOS release 5.4 (Final)　　内核：2.6.18-164.el5　bash 版本：GNU bash, version 3.2.25(1)-release (i686-redhat-linux-gnu)

样本：

bash[4463]: user=soc,ppid=4437,from=10.70.20.20 4763 22,pwd=/root,command:20150112-193253: uname -a bash[4679]: user=root,ppid=4326,from=10.70.20.20 4763 22,pwd=/root,command:20150112-194716: ps -ef|grep tail

本文出自 “vslinux51cto.com” 博客，转载请与作者联系！