在UbuntuArty17上，作为一个特权用户，我如何获得一封电子邮件(可能在夜间)，其中包含关于-- get请求被发送到端口的信息

Question

在UbuntuArty17上，作为一个特权用户，我如何获得一封包含以下信息的电子邮件(可能是夜间的)

• 什么GET请求被发送到端口80
• 试图连接到端口22的ssh
• 在“常规用户”通过ssh 登录后
  • 他们执行了哪些shell命令？
  • 他们试过苏多吗？
  • 他们是否试图读取或删除/home/其他/*文件？

Answer 1

关于你的问题：

1. 您可以在web服务器日志中检查所有已接收到的端口80请求。
   • 在Apache中，根据GNU Linux发行版和版本，可以在以下地址找到它的日志。
     • /var/log/apache/access.log
     • /var/log/apache2/access.log
     • /var/log/httpd/access.log

2. 有关检查SSH日志，请参考以下链接：
   • 如何跟踪失败的SSH登录尝试？
   • Ubuntu14.04日志SSH访问尝试在哪里？[复本]

3. 您可以通过打开位于.bash_history中的/home/<username>/.bash_history文件来检查其他用户执行的所有命令，同时也要记住，用户可以删除这个日志文件。

执行tail /var/log/auth.log | grep <username>应该会给出用户的sudo历史记录。

如果用户生成了一个具有sudo -s、sudo su、sudo sh等的shell，那么执行的命令可能会出现在位于/root/.bash_history中的根用户的历史文件中。

如果您想要为此目的构建的工具，可以检查三位一体。是封装在巧妙的和其他Ubuntu版本中。

Sydig是一个开源的、跨平台的、功能强大、灵活的Linux系统监控、分析和故障排除工具.可用于系统的开发和调试。

您可以执行sysdig -c spy_users来显示用户交互启动的每个命令，以及用户访问的每个目录。

此外，您还可以使用spy_port显示使用给定IP端口号交换的数据。

希望这能有所帮助。