[RabarbarDwurolexowy]

#linux #ssh
Hej, czy jest jakaś opcja(na bank jest, ale akurat nie wiem jak wpisać po angielsku) by monitorować co wpisuje "gość" zalogowany przez SSH(bawię się logując z lapka na głowny komputer przez terminal, wykonuję jakieś proste operacje), chciałbym na kompie do którego się loguję mieć echo tego co robię/ktoś robi zdalnie, nie wiem jak to wytłumaczyć, powiedzmy jakieś polecenie/skrypt pokazujące: gość noob zalogowany z 192.168.1.1 wpisał ls, wszedł do danego katalogu, odpalił dany skrypt... znalazłem polecenie who, ale tam tylko pokazuje że ktoś jest/był podłączony.
druga sprawa zrobiłem sobie dwa zestawy: remon, remoff by ułatwić zabawę z SSH i po zabawie wyłączyć możliwość na wszelki wypadek:
remon
sudo systemctl start sshd.service;
sudo systemctl enable sshd.service;
i remoff
sudo systemctl disable sshd.service;
sudo systemctl stop sshd.service;
z tego co rozumiem to drugi skrypt powinien wyłączyć możliwość wchodzenia przez SSH(i wyłącza), ale nie wyrzuca aktywnie zalogowanego użytkownika(czyli mnie, z lapka:)), zanim się nie wyloguję to mogę jeszcze działać. Co mogę dodać do tego skryptu by w momencie odpalenia wywalało wszystkich zdalnie zalogowanych? Przepraszam za takie proste pytania. Normalnie szukam po angielsku, ale tu nie chcę przyklejać poleceń jak małpa. Dzięki

[rewida17]

@RabarbarDwurolexowy: kuknij tutaj:
https://stackpointer.io/unix/unix-linux-kick-user-off-ssh/627/

Dane możesz wyciągnąć np awk ;)

[bruuh]

@RabarbarDwurolexowy: no to ja znam tlog, a do zarządzania większą liczbą userów używam teleport

[habazie]

@RabarbarDwurolexowy Nie wiem czy coś więcej niż z polecenia history (które też da się obejść) tak łatwo uzyskasz. Głównie widać chyba w logach

[rewida17]

@RabarbarDwurolexowy: W sumie jeszcze możesz dodawać regułę firewalla żeby dropował ruch tcp z ip po którym user się logował + reload FW (hmm, to wychodzi coś w stylu fail2ban)

[bob_kelso]

@rewida17: jezeli zrobisz chattr +a /home/user/.bash_history to użytkownicy będą mogli tylko dopisywać do historii basha, pewnie darade to jakosc obejsc (zmienic shella, albo odpalic nowego z konfigiem gdzie indziej zapisujacym historie)

jezeli chodzi o zamykanie polaczen, to mozesz sobie lsofd -i :22 sprawdzic ktos jest podlaczony, wyciagnac PID i go zabic (malo elaganckie, ale powinno zadzialac)

[rewida17]

@bob_kelso: Dobry myk z chattr :) Dziękuję, tego jeszcze nie znalazłem. Wołam OP jako chyba do niego powinna być kierowana ta odpowiedź @RabarbarDwurolexowy

[kiedystobylyloginy]

@RabarbarDwurolexowy: trochę zależy od postawionych celów. "na #!$%@?" można userowi ustawić shella, który owrapuje całą sesję scriptem na przykład.
albo bardziej po bożemu: pamttyaudit.
no i jest jeszcze https://github.com/Scribery/tlog, ale z tym się nie bawiłem