痕迹清理技战术-linux_vim

在Linux环境下进行痕迹清理是一项复杂的技术工作,通常用于维护系统安全、隐私保护以及合规审计。痕迹清理技术涵盖了多种方法和工具,旨在清除系统中的日志记录、临时文件、缓存数据以及其他可能泄露敏感信息的痕迹。

Linux痕迹清理技战术

1. 清理日志文件

Linux系统中有多个日志文件,记录了系统运行期间的各种事件。清理这些日志文件可以减少公鸡者追踪活动轨迹的机会。

常见日志文件
  • /var/log/syslog:系统日志。
  • /var/log/auth.log:认证日志。
  • /var/log/kern.log:内核日志。
  • /var/log/dmesg:内核消息日志。
清理方法
  • 使用日志轮转:配置 logrotate 自动定期清理旧日志。
  • 手动清空日志:使用 > /dev/null 清空日志文件。
sudo cat /dev/null > /var/log/syslog
sudo cat /dev/null > /var/log/auth.log

2. 清理临时文件

临时文件通常是系统和应用程序在运行过程中产生的,这些文件可能包含敏感数据。

清理方法
  • 使用 rm 命令删除临时文件
sudo rm -rf /tmp/*
sudo rm -rf /var/tmp/*
  • 使用自动化工具:例如 tmpwatch 可以定期删除旧的临时文件。
sudo apt-get install tmpwatch
sudo tmpwatch 1d /tmp /var/tmp

3. 清理缓存文件

缓存文件可以加速系统操作,但也可能包含敏感数据。

清理方法
  • 清理系统缓存
sudo sh -c 'echo 3 > /proc/sys/vm/drop_caches'
  • 清理浏览器缓存:针对不同的浏览器,可以使用相应的命令或工具。

4. 清理历史记录

历史记录文件记录了用户执行过的命令,可能包含敏感信息。

清理方法
  • 清空 bash 历史记录
history -c
history -w
  • 删除 .bash_history 文件
rm ~/.bash_history

5. 清理 SSH 登录痕迹

SSH 登录记录通常保存在 /var/log/auth.log 文件中,可以通过定期清理或配置日志轮转来管理。

清理方法
  • 定期清空日志文件
sudo cat /dev/null > /var/log/auth.log
  • 配置日志轮转
sudo nano /etc/logrotate.d/syslog

在文件中添加或修改日志轮转规则。

6. 使用 SELinux 或 AppArmor

对于使用 SELinux 或 AppArmor 的系统,可以利用这些安全模块来限制访问权限,从而减少潜在的痕迹。

配置方法
  • SELinux:调整 SELinux 策略以限制访问。
  • AppArmor:编写和应用 AppArmor 配置文件。

7. 使用一次性虚拟机或容器

在进行敏感操作时,可以使用一次性虚拟机或容器来隔离操作环境,操作完成后销毁虚拟机或容器,从而彻底清除痕迹。

创建方法
  • 使用 Docker
docker run --rm -it ubuntu bash
  • 使用 VirtualBox 或 VMWare:创建一个新的虚拟机并在操作后销毁。

注意事项

  • 合法性:所有操作必须在合法授权的情况下进行。
  • 备份:在进行任何清理工作之前,最好先备份相关数据。
  • 审计:即使清理了痕迹,也可能留下其他形式的审计线索,因此应综合考虑安全策略。

演示

痕迹清理技战术-linux_日志文件_02

输入history可以看到当前终端里面所运行的所有命令

输入history -r 就会清楚当前会话的历史记录

-c 就会清除内存中的所有命令历史

痕迹清理技战术-linux_日志文件_03

删除这个文件就会删除历史记录里所有的内容

rm .bash_history

痕迹清理技战术-linux_历史记录_04

通过设置历史命令条数来清除历史命令

HISTSIZE=0

痕迹清理技战术-linux_日志文件_05

用vim打开文件,输入history=0

这条命令主要的作用是让vim不记录历史命令,否则的话vim会将历史命令收录到.viminfo文件中

在vim里执行一个ip -a的命令

痕迹清理技战术-linux_历史记录_06

cat .viminfo

痕迹清理技战术-linux_日志文件_07

会看到没有这一条命令的记录

修改系统配置文件达到系统永久不在保存记录命令日志的命令

痕迹清理技战术-linux_vim_08

用管理员权限编辑profile

nano /etc/profile

痕迹清理技战术-linux_vim_09

输入HISTSIZE=0就可以了

Linux清理系统日志