未来中森网站建设咨询,长沙公众号开发,湖南变电站公司中企动力技术支持网站建设,上海有几个区县Python-strace命令追踪ssh操作 通过strace 命令追踪ssh的进程ID#xff0c;记录操作的命令[实际上是内核里面记录的东西]#xff0c;进行操作日志的Py解析达到效果 追踪进程并写入ssh操作到文件中 Ps: 此时机器A已经ssh登录了机器B#xff0c;取得它的ssh进程PID 机器A登录后…Python-strace命令追踪ssh操作 通过strace 命令追踪ssh的进程ID记录操作的命令[实际上是内核里面记录的东西]进行操作日志的Py解析达到效果 追踪进程并写入ssh操作到文件中 Ps: 此时机器A已经ssh登录了机器B取得它的ssh进程PID 机器A登录后的操作命令就记录在了ssh.log文件中了 登陆从A登陆B机器 [root136 ~]# ssh 192.168.0.137root192.168.0.137s password:Last login: Sun Apr 28 13:59:08 2019 from 192.168.0.136[root137 ~]# 取得PID [root136 ~]# ps -ef | grep ssh root 6861 1 0 4月19 ? 00:00:00 /usr/sbin/sshd -Droot 45477 6861 0 13:57 ? 00:00:00 sshd: rootpts/2root 45478 6861 0 13:57 ? 00:00:00 sshd: rootpts/0root 45479 6861 0 13:57 ? 00:00:00 sshd: rootpts/1root 45579 45483 0 14:04 pts/1 00:00:00 ssh 192.168.0.137root 45591 45485 0 14:07 pts/2 00:00:00 grep --colorauto ssh[root136 ~]#strace追踪 [root136 ~]# strace -f -p 45579 -t -o ssh.logstrace: Process 45579 attached[root136 ~]#远端执行命令并退出 1 ls2 3 df -h4 5 ifconfig6 7 ls8 9 touch aa
10
11 echo 123 aa
12
13 vim aa 本地分析 基本取得远端执行的命令[root136 ~]# python audit.py[14:07:20, \\r][14:07:22, ls\\rdf -h\\r][14:07:24, ifcon\\t\\r][14:07:25, ls\\r][14:07:30, vim\\10\\10\\10\\10touc h aa\\r][14:07:37, \\10echo [1-]123[-1] aa\\t\\r][14:07:39, vim aa\\t\\r][14:07:44, \\33[2;2R\\33[1;10;0c[down 1]o456\\33:wq\\r][root136 ~]# 脚本 1 #_*_coding:utf-8_*_2 3 import re4 5 class AuditLogHandler(object):6 7 分析audit log日志8 9 def __init__(self, log_file):10 11 self.log_file_obj self._get_file(log_file)12 13 def _get_file(self,log_file):14 15 return open(log_file)16 17 def parse(self):18 19 cmd_list []20 21 cmd_str 22 23 catch_write5_flag False #for tab complication24 25 for line in self.log_file_obj:26 27 #print(line.split())28 29 line line.split()30 31 try:32 33 pid,time_clock,io_call,char line[0:4]34 35 if io_call.startswith(read(4):36 37 if char \\177,:#回退38 39 char [1-del]40 41 if char \\33OB,: #vim中下箭头42 43 char [down 1]44 45 if char \\33OA,: #vim中下箭头46 47 char [up 1]48 49 if char \\33OC,: #vim中右移50 51 char [-1]52 53 if char \\33OD,: #vim中左移54 55 char [1-]56 57 if char \33[2;2R,: #进入vim模式58 59 continue60 61 if char \\33[1;95;0c,: # 进入vim模式62 63 char [----enter vim mode-----]64 65 66 67 68 69 if char \\33[A,: #命令行向上箭头70 71 char [up 1]72 73 catch_write5_flag True #取到向上按键拿到的历史命令74 75 if char \\33[B,: # 命令行向上箭头76 77 char [down 1]78 79 catch_write5_flag True # 取到向下按键拿到的历史命令80 81 if char \\33[C,: # 命令行向右移动1位82 83 char [-1]84 85 if char \\33[D,: # 命令行向左移动1位86 87 char [1-]88 89 90 91 cmd_str char.strip(,)92 93 if char \\t,:94 95 catch_write5_flag True96 97 continue98 99 if char \\r,:
100
101 cmd_list.append([time_clock,cmd_str])
102
103 cmd_str # 重置
104
105 if char :#space
106
107 cmd_str
108
109
110
111 if catch_write5_flag: # to catch tab completion
112
113 if io_call.startswith(write(5):
114
115 if io_call \7,: # 空键不是空格是回退不了就是这个键
116
117 pass
118
119 else:
120
121 cmd_str char.strip(,)
122
123 catch_write5_flag False
124
125 except ValueError as e:
126
127 print(\033[031;1mSession log record err,please contact your IT admin,\033[0m,e)
128
129
130
131 # print(cmd_list)
132
133 for cmd in cmd_list:
134
135 print(cmd)
136
137 # return cmd_list
138
139
140
141 if __name__ __main__:
142
143 parser AuditLogHandler(ssh.log)
144
145 parser.parse() 转载于:https://www.cnblogs.com/wangxu01/articles/10783712.html
