syslog記錄history(轉載)

 工作中可能會有無聊的***在你服務器上轉悠，***智商都不錯，所有離開的時候就會刪除history記錄。怎麼辦才能記錄下用戶的歷史記錄呢？

原理：將history記錄到syslog上面，並實時的傳送到了遠端的日誌集中服務器上。

方法：使用bash4.1的新功能：歷史命令保存到syslog！然後使用syslog-ng構建集中型日誌服務器收集主機日誌。

1、下載bash：

#wget http://ftp.gnu.org/gnu/bash/bash-4.2.tar.gz
#tar zxvf bash-4.2.tar.gz –C /tmp/bash-4.2
#cd /tmp/bash-4.2

2、修改源碼

(根據個人需要，我只保留了pid，uid，sid等，參數請看目錄下的shell.c中)：
文件bashhist.c大約708行的位置開始，修改成以下一段：

syslog (SYSLOG_FACILITY|SYSLOG_LEVEL, "HISTORY: PID=%d PPID=%d SID=%d  User=%s CMD=%s", getpid(), getppid(), getsid(getpid()),  current_user.user_name,line);
else
{
strncpy (trunc, line, SYSLOG_MAXLEN);
trunc[SYSLOG_MAXLEN - 1] = '\0';
syslog (SYSLOG_FACILITY|SYSLOG_LEVEL, "HISTORY (TRUNCATED): PID=%d  PPID=%d SID=%d User=%s CMD=%s", getpid(), getppid(), getsid(getpid()), current_user.user_name, trunc);
}

注：
ppid：跟蹤sh切換後的用戶
Sid： 跟蹤 su 切換後的用戶
第二段代表log長度超過600後使用的語句
修改config-top.h文件

/*#define SYSLOG_HISTORY*/
修改爲
#define SYSLOG_HISTORY

編譯安裝
# ./configure --prefix=/usr/local/bash_4.2 && make && make install
修改用戶配置：
將用戶的bash換成現在的bash4.2
# vi /etc/passwd
dongwm:x:501:501::/home/dongwm:/usr/local/bash_4.2/bin/bash
這樣日誌就會記在/var/log/messages
結果類似這樣：

Dec 23 17:40:28 server -bash: HISTORY: PID=4089 PPID=4088 SID=4089 User=dongwmCMD=exit
Dec 23 17:41:47 server -bash: HISTORY: PID=4282 PPID=4278 SID=4282 User=rootCMD=exit
Dec 23 17:41:53 server -bash: HISTORY: PID=4321 PPID=4317 SID=4321 User=rootCMD=ssh java00
Dec 23 17:44:09 server -bash: HISTORY: PID=2152 PPID=2137 SID=2152 User=rootCMD=vi Clean_javalog.sh
Dec 23 17:45:16 server -bash: HISTORY: PID=2152 PPID=2137 SID=2152 User=rootCMD=sh Clean_javalog.sh
Dec 23 17:45:30 server -bash: HISTORY: PID=2152 PPID=2137 SID=2152 User=rootCMD=cat /dev/shm/cleanJavaLog.log
Dec 23 17:46:08 server -bash: HISTORY: PID=2152 PPID=2137 SID=2152 User=rootCMD=vi Clean_javalog.sh
Dec 23 17:48:54 server -bash: HISTORY: PID=2152 PPID=2137 SID=2152 User=rootCMD=cat Clean_javalog.sh

......

在整個環境佈置了記錄功能，就能方便的查出來誰-在何時，用什麼賬號，做了什麼操作...

3、主機syslog配置（添加日誌服務器的地址）

# vi /etc/syslog.conf

在最後添加一列：
*.* @server.dongwm.com

4、搭建日誌服務器

 

下圖是EventLog收集到的bash歷史記錄信息