安全运维之如何将Linux历史命令记录发往远程Rsyslog服务器

2017年07月21日原文

0×01. 前言

在谁动了我的主机? 之活用History命令|Linux安全运维一文中，作者已经演示了如何将history 命令记录发往本地Rsyslog，本文会介绍将Linux history 记录发往远程Rsyslog 服务器的2种方法。

0×01. 方法1，修改bash源码，使其支持将history历史记录发往远程Rsyslog 服务器

从bash4.1 版本开始，bash开始支持Rsyslog，所以我们需要下载bash4.1以后版本，这里以bash4.4为例

bash源码下载地址： https://ftp.gnu.org/gnu/bash/

共计需要修改两处源码：

1) 先修改bashhist.c

从源码文件名字也可以看出这个源码文件和linux history记录处理有关

748 #if defined (SYSLOG_HISTORY)

749 #define SYSLOG_MAXLEN 600

750

751 extern char *shell_name;

752

753 #ifndef OPENLOG_OPTS

754 #define OPENLOG_OPTS 0

755 #endif

756

757 void

758 bash_syslog_history (line)

759 const char *line;

760 {

761 char trunc[SYSLOG_MAXLEN];

762 static int first = 1;

763

764 if (first)

765 {

766 openlog (shell_name, OPENLOG_OPTS, SYSLOG_FACILITY);

767 first = 0;

768 }

769

770 if (strlen(line) 771 syslog (SYSLOG_FACILITY|SYSLOG_LEVEL, "HISTORY: PID=%d UID=%d User=%s CMD=%s", getpid(), current_user.uid, current_user.user_name, line);

772 else

773 {

774 strncpy (trunc, line, SYSLOG_MAXLEN);

775 trunc[SYSLOG_MAXLEN - 1] = '';

776 syslog (SYSLOG_FACILITY|SYSLOG_LEVEL, "HISTORY (TRUNCATED): PID=%d UID=%d User=%s CMD=%s", getpid(), current_user.uid, current_user.user_name, trunc);

777 }

778 }

779 #endif

需要修改771行和776行，修改内容，如上所示

其中PID表示当前执行linux命令的bash进程ID，使用函数getpid()获取;UID表示执行命令用户的ID，用current_user.uid 表示;User表示执行命令的用户名，用 current_user.user_name表示;CMD表示执行的历史命令内容。

2)再修改config-top.h

116 #define SYSLOG_HISTORY

117 #if defined (SYSLOG_HISTORY)

118 # define SYSLOG_FACILITY LOG_USER

119 # define SYSLOG_LEVEL LOG_INFO

120 # define OPENLOG_OPTS LOG_PID

121 #endif

122

将116行注释去掉(2个#去掉一个就好)，去掉之后，如上所示

这里定义syslog的FACILITY为 user (用户级别的日志)

日志级别为info

3)编译

./configure --prefix=/usr/local/bash && make && make install

4) 修改/etc/passwd 修改用户的登录shell (当然也可以直接替换原先的bash)

root:x:0:0:root:/root:/usr/local/bash/bin/bash

f3:x:1004:1004::/home/f3:/usr/local/bash/bin/bash

5)修改/etc/rsyslog.conf

user.info @@10.1.100.1

将FACILITY 为user 且日志级别为info的信息发往远程rsyslog 服务器 10.1.100.1

最后重启rsyslog

6) 收日志

这里远程rsyslog 日志选择windows平台的visualsyslog，下载地址为：https://github.com/MaxBelkov/visualsyslog/，以下是收到的日志截图：

0×01. 方法2，不修改bash源码，利用trap和logger命令将执行命令记录发往远程Rsyslog 服务器

1) vim /etc/profile

添加以下内容

function log2syslog

{

declare command

command=$BASH_COMMAND

logger -p local1.notice -t bash-$$ -i -n 10.1.100.1 -- $SSH_CONNECTION---$USER---$PWD---$command

}

trap log2syslog DEBUG

解释一下：

我们知道用户登录之后shell 都会执行/etc/profile中的内容

在shell中每执行一次命令都是一个activity，trap log2syslog DEBUG 意为对shell中的每一个activity都执行一遍log2syslog 函数

logger 是一个向syslog发送日志的接口

$BASH_COMMAND 表示最新执行的shell命令

$$ 表示当前shell的进程id

$SSH_CONNECTION 当前ssh连接的tcp socket 五元组信息

$USER 表示当前执行命令的用户

$PWD 表示执行命令时所在目录

这些信息之间用— 隔开

-p 表示syslog的Facility

-t 表示tag

-n 表示远程syslog 地址

2) vim /etc/rsyslog.conf

增加：

local1.* @@10.1.100.1

修改配置后，重启rsyslog

3)截图

4) 该方法的不足

因为每记录一条命令日志到远程syslog服务器都会产生一个新的进程，如果命令activity 量很大，则相比修改bash源码方式而言比较消耗性能

如3)中截图所示，Tag中每一个bash后面中括号都表示一个新的进程id，你可自行对比修改bash源码方式就没有此类问题