Bekijk Volledige Versie : SSH access log
hosting-queen
03/01/12, 18:54
Hallo WHT'ers,
Ik ben opzoek naar een command voor de SSH logs.
Ik wil graag een command hoe ik de log terug kan halen wie er is ingelogd op SSH.
Is er iemand die me kan helpen?
Hallo WHT'ers,
Ik ben opzoek naar een command voor de SSH logs.
Ik wil graag een command hoe ik de log terug kan halen wie er is ingelogd op SSH.
Is er iemand die me kan helpen?
tail -f /var/log/sshd/current is een manier....
Julio
Hangt een beetje van je distro af, maar je kan het bijvoorbeeld terug vinden in /var/log/auth.log
Uit de linux voor dummies reeks:
cat /var/log/secure | grep sshd (voor Fedora)
De volgende keer mag je best eerst googlen.
www.google.nl/search?source=ig&hl=nl&rlz=&q=linux+ssh+log
hosting-queen
03/01/12, 19:14
tail -f /var/log/sshd/current is een manier....
Julio
Krijg dan foutmelding:
tail: cannot open `/var/log/sshd/current' for reading: No such file or directory
tail: no files remaining
Hangt een beetje van je distro af, maar je kan het bijvoorbeeld terug vinden in /var/log/auth.log
Bestand staat niet in de server.
Uit de linux voor dummies reeks:
cat /var/log/secure | grep sshd (voor Fedora)
De volgende keer mag je best eerst googlen.
www.google.nl/search?source=ig&hl=nl&rlz=&q=linux+ssh+log
Deze loopt maar tot 1 januari, ik moet van 30-12-2011 hebben.
Google al geprobeerd, alles wat ik zie werkt niet!
Ik geef de voorkeur op RHEL/CentOS/SL aan:
last | grep pts
Of als je wil weten wie er op dit moment zijn ingelogd kan dat natuurlijk ook via "who".
Deze loopt maar tot 1 januari, ik moet van 30-12-2011 hebben.
Sorry, maar hier ga ik nog niet eens meer op reageren...
Ik zou zeggen, ga eens wat lezen!
Iets met google eens op "logrotate" .....
crossplatform
03/01/12, 19:25
welke distro heb je?
hosting-queen
03/01/12, 19:32
Ik heb de logs gevonden, maar niet gevonden wat ik zocht.
Iemand heeft in mijn SSH, of op andere manier de httpd verwijderd. Hoe kan ik hier achter komen wie en wanneer dit heeft gedaan?
hosting-queen
03/01/12, 19:33
welke distro heb je?
Centos
Ik heb de logs gevonden, maar niet gevonden wat ik zocht.
Iemand heeft in mijn SSH, of op andere manier de httpd verwijderd. Hoe kan ik hier achter komen wie en wanneer dit heeft gedaan?
Verwijderd als in apache gestopt of echt de bestanden verwijderd?
hosting-queen
03/01/12, 19:52
Nee, echt bestanden verwijderd uit de server, waardoor Apache nu ook offline is.
Yourwebhoster
03/01/12, 19:56
dir /var/log/
als je een secure.x (x is numeriek) hebt pak die dan en dan greppen. Heb je dat niet, dan is het gewoon foetsie en niks aan te doen.
Edit: Weet je wat queen betekend:P?
Tim.Bracquez
03/01/12, 20:55
Nee, echt bestanden verwijderd uit de server, waardoor Apache nu ook offline is.
Even aan je hosting provider vragen om een onderhoudscontractje
crossplatform
04/01/12, 11:08
Een reinstall van het apache pakketje moet ervoor zorgen dat je het weer hersteld.
Of van een andere server kopieren.
Wie het heeft verwijderd is vrij lastig te achterhalen. Enige manier is als je ongeveer weet wanneer het heeft plaatsgevonden.
Met die informatie kan je dan in de access logs kijken welke persoon op dat moment was aangemeld.
Als men inlogt met een nietszeggende username (root bijv.) dan heb je er nog weinig aan.
Tenzij er maar een beperkt aantal mensen onder die user mag werken... Een whois van het IP adres kan ook wat informatie bieden.
Yourwebhoster
04/01/12, 11:47
Het is misschien slimmer als je niemand wilt inhuren om de server een nieuwe installatie te geven en een anti brute force login te maken. Tevens zou ik de logs 60+ dagen bewaren.