目录
- 隐藏远程SSH登陆记录
- 清除当前的history记录
- 隐藏Vim的操作记录
- 隐藏文件修改时间
- 锁定文件
- 清除系统日志痕迹
隐藏远程SSH登陆记录
隐身登录系统，不会被w、last等指令检测到。
ssh -T root@192.0.0.1 /bin/bash -i
-T表示不分配伪终端，/usr/bin/bash 表示在登录后调用bash命令 -i 表示是交互式shell
在这里插入图片描述
原理
`w/last`命令日志`/var/log/wtmp` 是utmp和wtmp的日志接口产生的，而这俩接口是正常登陆分配伪终端（tty）之后才调用的，`ssh -T root@192.0.0.1 /usr/bin/bash `表示登陆后调用bash命令。不是一个完整的会话 类似执行一个临时命令,系统不会分配伪终端
伪终端(pseudo terminal有时也被称为pty)应用场景:
1. 在图形界面下打开的命令行终端
2. 基于ssh协议或telnet协议等远程打开的命令行界面
排查
登录后先用 `echo $PPID` 获取自己的PID,netstat\lsof 都可以排查到
在这里插入图片描述
清除当前的history记录
如果我们不希望命令被记录，在退出会话前直接执行：
# 清除当前会话的命令历史记录
history -r
# 或者 不给当前的shell留时间去处理，内存的命令也就没时间写入到文件
kill -9 $$
原理
history -r将历史命令文件中的命令(/.bash_history) 读入当前历史命令缓冲区.
history -r 把历史文件(/.bash_history）附加到内存数据中了
隐藏Vim的操作记录
当我们使用 vim时候,会在 `~/.viminfo`留下操作记录，建议使用 vi 。 或者在vim中使用命令关闭记录。
:set history=0 :!command
隐藏文件修改时间
一般管理员会查看一个文件的修改时间，我们可以把我们的后门文件时间修改成几天之前创建的效果。使用如下命令。
# touch -r A B 使B文件时间变得和A文件相同
touch -r index.html shell.php
在这里插入图片描述
但是稍微有经验的管理员使用stat或者 find ./ -ctime 0 -name "*.php" 就会发现这里的问题
# 查找24小时内被创建的php文件
find ./ -ctime 0 -name "*.php"
在这里插入图片描述
stat中的三个属性意思是
最近访问(access time)：表示我们最后一次访问（仅仅是访问，没有改动）文件的时间
最近更改(modify time)：表示我们最后一次修改文件的时间
最近改动(change time)：表示我们最后一次对文件属性改变的时间，包括权限，大小，属性等等
比如 最近访问(access time)。 我们用cat访问下，发现 最近访问 变了
在这里插入图片描述
那么如果再绕过 stat的检测呢？ 修改系统时间后再 touch -r A B 就可以了。最后记得把系统时间改回来啊
锁定文件
有时候你发现用root权限都不能修改某个文件，大部分原因是曾经用chattr命令锁定该文件了。此权限用ls -l是查看不出来的，从而达到隐藏权限的目的。chattr命令不能保护/、/dev、/tmp、/var目录。lsattr命令是显示chattr命令设置的文件属性。
chattr +i shell.php #锁定文件
rm -rf shell.php #提示禁止删除
lsattr shell.php #属性查看
chattr -i shell.php #解除锁定
rm -rf shell.php #删除文件
在这里插入图片描述
让某个文件只能往里面追加数据，但不能删除，适用于各种日志文件
# chattr +a /var/log/messages
清除系统日志痕迹
Linux 系统存在多种日志文件，来记录系统运行过程中产生的日志
清除系统日志痕迹
/var/log/btmp 记录所有登录失败信息，使用lastb命令查看
/var/log/lastlog 记录所有用户最后一次登录时间的日志，使用lastlog命令查看
/var/log/wtmp 记录所有用户的登录、注销信息，使用last命令查看
/var/log/utmp 记录当前已经登录的用户信息，使用w,who,users等命令查看
/var/log/secure 记录与安全相关的日志信息
/var/log/message 记录系统启动后的信息和错误日志
# 直接覆盖日志文件
echo > /var/log/btmp
cat /dev/null > /var/log/secure
# 删除所有匹配到字符串的行,比如以当天日期或者自己的登录ip
sed -i '/自己的ip/'d /var/log/messages
# 全局替换登录IP地址：
sed -i 's/192.168.166.85/192.168.1.1/g' secure
清除web日志入侵痕迹
# 直接替换日志ip地址
sed -i 's/192.168.166.85/192.168.1.1/g' access.log
# 清除部分相关日志
cat /var/log/nginx/access.log | grep -v evil.php > tmp.log
# 把修改过的日志覆盖到原日志文件
cat tmp.log > /var/log/nginx/access.log/
文件安全删除工具
# shred 命令 安全的从硬盘上擦除数据，默认覆盖3次，通过 -n指定数据覆盖次数
[root@centos]# shred -f -u -z -v -n 8 1.txt
# wipe 使用特殊的模式来重复地写文件，从磁性介质中安全擦除文件
[root@centos]# wipe filename
