syslog记录history历史记录

将history记录到syslog上面

方法：使用bash4.1的新功能：历史命令保存到syslog

1、下载bash：

wget http://ftp.gnu.org/gnu/bash/bash-4.1.tar.gz
tar zxvf bash-4.1.tar.gz –C /tmp/bash-4.1
cd /tmp/bash-4.1

2、修改源码

(根据个人需要，我只保留了pid，uid，sid等，参数请看目录下的shell.c中)：
      文件bashhist.c大约708行的位置开始，修改成以下一段：

(根据个人需要，我只保留了pid，uid，sid等，参数请看目录下的shell.c中)：
     文件bashhist.c大约708行的位置开始，修改成以下一段：

 

syslog (SYSLOG_FACILITY|SYSLOG_LEVEL, "HISTORY: PID=%d PPID=%d SID=%d  User=%s CMD=%s", getpid(), getppid(), getsid(getpid()),  current_user.user_name, line);
else
{
strncpy (trunc, line, SYSLOG_MAXLEN);
trunc[SYSLOG_MAXLEN - 1] = '\0';
syslog (SYSLOG_FACILITY|SYSLOG_LEVEL, "HISTORY (TRUNCATED): PID=%d  PPID=%d SID=%d User=%s CMD=%s", getpid(), getppid(), getsid(getpid()),  current_user.user_name, trunc);
}

注：
ppid：跟踪sh切换后的用户
Sid： 跟踪 su 切换后的用户
第二段代表log长度超过600后使用的语句
修改config-top.h文件

/*#define SYSLOG_HISTORY*/
修改为
#define SYSLOG_HISTORY

编译安装

# ./configure --prefix=/usr/local/bash4.1&& make && make install

修改用户配置：
将用户的bash换成现在的bash4.1
# vi /etc/passwd
root:x:0:0:root:/root:/usr/local/bash4/bin/bash

这样日志就会记在/var/log/messages

Aug 24 11:44:48 mysql -bash: HISTORY: PID=31830 PPID=31796 SID=31830 User=root CMD=clear
Aug 24 11:44:48 mysql -bash: HISTORY: PID=31830 PPID=31796 SID=31830 User=root CMD=ls
Aug 24 11:44:49 mysql -bash: HISTORY: PID=31830 PPID=31796 SID=31830 User=root CMD=clear
Aug 24 11:44:50 mysql -bash: HISTORY: PID=31830 PPID=31796 SID=31830 User=root CMD=w