多种方法实时记录历史命令

October 31, 2015

环境：Redhat 6.4

方法1：

实时记录历史命令到.bash_history

[root@itbing~]#vim /etc/bashrc
export HISTTIMEFORMAT='%F %T  '           #让历史命令记录操作时间
export HISTSIZE=1000000                   #设置保存历史命令条数     
export HISTFILESIZE=1000000               #设置保存历史命令的文件大小
shopt -s histappend
PROMPT_COMMAND='history -a'       #实时记录历史命令，防止丢失

优点：简单方便，易设置缺点：安全性较差，多用户下，只能分别记录到各自的.bash_history中，没有统一管理

方法2：

实时记录历史命令到自定义文件中

[root@itbing~]#vim /etc/bashrc
export HISTORY_FILE=/var/.history/`date '+%y-%m-%d'`.log    #自定义历史命令保存文件
export PROMPT_COMMAND=' { date &quot;+%Y-%m-%d %T - USER:$USER IP:$SSH_CLIENT PS:$SSH_TTY - $(history 1 | { read x cmd; echo &quot;$cmd&quot;; })&quot;; } &gt;&gt; $HISTORY_FILE'
#把所有用户的登录时间、登录地址、操作记录统一记录到指定文件中

优点：可随意更改存放地址，隐蔽性高，记录多用户操作缺点：安全性还是不高，非法用户还是可能找到并进行删除

方法3:（推荐）

实时记录历史命令，并记录到日志文件中

[root@itbing~]#vim /etc/bashrc
export PROMPT_COMMAND='history -a { command=$(history 1 | { read x y;echo $y; } );logger -p local1.notice -t bash -i &quot;user=$USER,ppid=$PPID,from=$SSH_CLIENT,pwd=$PWD,command:$command &quot; }'

[root@itbing~]#vim /etc/syslog.conf
local1.notice /var/log/cmd.log

优点：记录到日志中，配合日志服务器，可把日志传送过去，安全性高

方法4：（这个方法我未实际操作过，以下引用别人的实验）

利用bash的新特性来记录历史命令，可记录到日志文件中使用bash4.1的新功能：历史命令保存到syslog！然后使用syslog-ng构建集中型日志服务器收集主机日志。 1 下载bash：

#wget http://ftp.gnu.org/gnu/bash/bash-4.1.tar.gz
#tar zxvf bash-4.1.tar.gz –C /usr/local/bash-4.1
#cd /usr/local/bash-4.1

2 修改参数(根据个人需要，我只保留了pid，uid，sid等，参数请看目录下的shell.c中)：文件bashhist.c大约708行的位置开始，修改成以下一段：

syslog (SYSLOG_FACILITY|SYSLOG_LEVEL,&quot;HISTORY: PID=%d PPID=%d SID=%d User=%s CMD=%s&quot;, getpid(),getppid(), getsid(getpid()), current_user.user_name, line);
else
{
strncpy (trunc, line, SYSLOG_MAXLEN);
trunc[SYSLOG_MAXLEN -1]='&#92;&#48;';
syslog (SYSLOG_FACILITY|SYSLOG_LEVEL,&quot;HISTORY (TRUNCATED): PID=%d PPID=%d SID=%d User=%s CMD=%s&quot;, getpid(),getppid(), getsid(getpid()), current_user.user_name, trunc);
}

注：ppid：bash父进程号 Sid：跟踪 su 切换后的进程号第二段代表log长度超过600后使用的语句

3 去掉config-top.h中define SYSLOG_HISTORY的注释。结果如下：

#define SYSLOG_HISTORY

4 编译安装

# ./configure & make && make install

5 修改用户配置：将用户的bash换成现在的bash4.1

 vi /etc/passwd
dongwm:x:501:501::/home/dongwm:/usr/local/bash_4.1/bin/bash

这样日志就会记在/var/log/messages

结果类似这样： Dec 2317:40:28 server -bash: HISTORY: PID=4089 PPID=4088 SID=4089 User=dongwm CMD=exit …… 在整个环境布置了记录功能，就能方便的查出来谁-在何时，用什么账号，做了什么操作…

6 主机syslog配置（添加日志服务器的地址）

# vi /etc/syslog.conf
在最后添加一列：
*.* @server.dongwm.com（你的日志服务器的地址）

方法5：

使用script录屏功能

[root@itbing~]#vim /etc/profile
#录屏功能的命令都不能放在/etc/bashrc中，会产生很多进程,只能放在profile或者.bash_profile中
/usr/bin/script -qfa /var/log/script.log
#-q以静默状态启动
#-f实时写入
#-a追加文件记录，不覆盖
[root@itbing~]#source /etc/profile      #使环境变量生效，最好还是重启一下