Comprobar los comandos SSH ejecutados por los usuarios

Si está dando acceso a Shell a sus usuarios de alojamiento web, es posible que desee comprobar qué comandos están utilizando. En cPanel, hay un archivo en el directorio de inicio del usuario que guarda el historial de SSH.

El archivo es /home/username/.bash_history
El punto en el nombre del archivo significa que el archivo está oculto. Puedes usar el gato comando para ver el contenido del archivo:

# cat /home/username/.bash_history

root@web [/home/test]# cat .bash_history
#1521029684
exit
#1584542216
ls
#1584542218
w
#1584542219
top
#1584542230
free -m
#1584542234
uptime
#1584542238
cd /
#1584542240
ls
#1584542251
du -sh /home
#1584542267
du -sh /home/test
#1584542281
exit
root@web [/home/test]#

Tenga en cuenta que .bash_history El archivo es propiedad del usuario, por lo que el usuario puede modificarlo en cualquier momento.

Las líneas que comienzan con # contener la hora (en formato Unix/Epoch Time) cuando se ejecutó el comando. A continuación ponemos un enlace a un sitio donde puede convertir la hora de Unix a la hora legible por humanos. O más fácilmente puedes usar la fecha comando:

root@web [/home/test]# date -d @1584543556
Wed Mar 18 09:59:16 CDT 2020
root@web [/home/test]#

Para convertir automáticamente las fechas, puede usar un comando como:

# paste -sd '#\n' .bash_history | awk -F"#" '{d=$2 ; $2="";print NR" "strftime("%m/%d/%y %T",d)" "$0}'

Esto concatenará las filas de fecha y comando y cambiará el formato de fecha. Nuestro archivo de ejemplo será:

# /home/plothost$ paste -sd '#\n' .bash_history | awk -F"#" '{d=$2 ; $2="";print NR" "strftime("%m/%d/%y %T",d)" "$0}'
03/14/18 08:14:44   exit
03/18/20 10:36:56   ls
03/18/20 10:36:58   w
03/18/20 10:36:59   top
03/18/20 10:37:10   free -m
03/18/20 10:37:14   uptime
03/18/20 10:37:18   cd /
03/18/20 10:37:20   ls
03/18/20 10:37:31   du -sh /home
03/18/20 10:37:47   du -sh /home/test
03/18/20 10:38:01   exit

Recursos:
Tiempo de Wikipedia Unix/Tiempo de época
Conversor de tiempo de época