Wenn ein Linux-System gehackt wird, entstehen zahlreiche Spuren in Log-Files. Im folgenden wird erläutert, wie als Angreifer Spuren auf einem kompromittiertem System vermieden werden können.

Histsize

Nachdem es gelungen ist, eine Shell zu erlangen, werden normalerweise alle eingegeben Befehle im jeweiligen Homeverzeichnis in der Historie der Bash gespeichert.

~/.bash_history

Eine Möglichkeit, die Spuren zu verwischen, ist die manuelle Löschung der eingegebenen Befehle. Eine elegantere Methode ist, die Umgebungsvariable “Histsize” zu begrenzen. Mit dem Befehl “echo” kann angezeigt werden, wie viele der letzten eingegebenen Befehle in der Historie (bash_history) gespeichert werden.

echo $HISTSIZE

Setzt man den Wert mit dem Kommando “export” auf Null, so speichert die Shell keine Eingaben in die Historie.

export HISTSIZE=0

Falls schon mehrere Befehle eingeben wurden, dann einfach Ab- und Anmelden, um den Verlauf zu löschen, nachdem die HISTSIZE auf Null gesetzt wurde.

Shred

Falls die Zeit knapp sein sollte, kann der Befehl “shred” verwendet werden, um die History-Datei zu löschen. Mit diesem Kommando können Dateien überschrieben werden.

shred -zu root/.bash_history

Der Parameter “z” überschreibt die Datei mit Nullen und der Parameter “u” löscht die Datei, nachdem diese überschrieben ist.

Nachdem im Beitrag “Linux Log Files – Wo sind diese zu finden?” die Verortung von Log Files beschrieben wurde, geht es hier um die Befehle oder deren Kombinationen, welche beim Auslesen hilfreich sein können.

tail

Der Befehl “tail” zeigt die letzten Zeilen einer Datei an. Mit einigen Parametern lässt sich die Ausgabe etwas verfeinern.

tail -n20 /var/log/kern.log

Mit dem Parameter “-n20” werden ausschließlich die letzten 20 Einträge im Logfile angezeigt.

tail -f /var/log/kern.log

Mit dem Parameter “-f”werden die letzten Einträge im Logfile automatisch dargestellt.

head

Der Befehl “head” zeigt die ersten Zeilen einer Datei an und ist das Gegenstück zum Befehl “tail”.

head -n20 /var/log/kern.log

Mit dem Parameter “-n20” werden ausschließlich die ersten 20 Einträge im Logfile angezeigt.

cat, grep & more

Mit dem Befehl “cat” wird der Inhalt einer Datei angezeigt.

cat /var/log/kern.log

Falls die Datei größer ist, kann die Ausgabe mit der Kombination aus dem Befehl “cat” und “grep” nach bestimmten Wörtern/Zeichen eingegrenzt werden.

cat /var/log/kern.log | grep "audit"

Es werden alle Zeilen der Logdatei angezeigt, die das Wort “audit” beinhalten.

cat /var/log/kern.log | grep "audit" | more

Mit der Verwendung von „more“ wird die Ausgabe jeder der oben genannten Befehle seitenweise ausgegeben.

Eine Logdatei ist ein Ereignisprotokoll, d.h., es werden automatisch bestimmte Aktionen protokolliert. Unter Linux sind die Logdateien (Protokolldateien) in dem Verzeichnis “/var/log” zu finden.

Je nachdem welche Anwendungen auf einem System installiert sind, existieren in diesem Verzeichnis die entsprechenden Log-Dateien dafür. Auch weitere Unterverzeichnisse für verschiedene Anwendungen sind möglich. Die folgende Aufstellung zeigt häufige Log-Dateien auf:

Im eigenen Home Verzeichnis können sich ebenfalls Logdateien befinden.