崔先生的笔记

1. 查看登录 ip

cat /var/log/wtmp

解决方案:

# 更改其中的 ip
vim /var/log/wtmp
# 删除
rm /var/log/wtmp

执行last 命令的时候，就会看不到当前登录的 ip 信息

# 显示登录成功的用户名单
$: last

2. 查看登陆失败的信息

cat /var/log/btmp

因为是二进制文件，根据自己的 ip 进行 grep 的操作如下:

# ip 为，39.156.x.x 的时候，搜 39 或者 156，看下有相同的
cat /var/log/btmp | grep -a 156

解决方案同 1 中的。

# 显示登录失败的用户名单
$: lastb

3. 清除 Linux 系统历史执行命令

# 清除
history -c
# 查看历史执行命令，发现已经没有  
history
# 解决方案 2:  使用 echo 清空文件
echo "" > ~/.bash_history

4. 清理 lastlog

显示系统中所有用户最近一次登录信息。

可以直接看到我们的 ip 痕迹。

解决方案：

# 二进制文件直接删除
rm /var/log/lastlog

5. 清理其他日志

/var/log/secure

# 在 /var/log/secure 查找你的 ip ， 例如 cat /var/log/secure | grep 36.22.225.1 这样
cat /var/log/secure | grep xx.xx.xx.xx

如果有输出，就使用 vim 进入删除即可。

/var/log/audit/ 目录下

ls /var/log/audit/

解决方案:

# 空值写入
echo "" > /var/log/audit/audit.log
# 删除
rm /var/log/audit/audit.log

其余几个 audit*.log 尝试用 grep 搜索自己的 ip,找到后使用上述解决方案。

6. 不要使用 vim

vim 操作文件后，后保留日志，我们来看一下：

cat ~/.viminfo

找了一些部分修改此文件的命令，未测试，遇事不决，建议直接删除。

rm -rf ~/.viminfo

7. ssh 隐身登录

ssh -T root@xx.ip.xx.xx /bin/bash -i
# 示例
ssh -T root@172.10.1.168 /bin/bash -i

登录成功后:

$: last # 此命令查不到
$: lastb # 此命令查不到

让我们去看下日志:

# 存在痕迹
cat /var/log/secure 

此时最好不好删除，此文件日志多，直接删除引起管理员注意。

# 匹配自己 ip 进行替换
sed -i 's/自己的ip/要换成的ip/g' /var/log/messages
sed -i 's/自己的ip/要换成的ip/g' /var/log/secure

上述命令执行完后:

cat /var/log/secure 后发现 ip 已经变为自己想替换成的 ip .