| 观察点 | shell 配置与时间戳一致性 |
|---|---|
| 配置项 | HISTFILE / HISTSIZE / HISTCONTROL / HISTFILESIZE |
核查
核查
grep -Rn 'HISTFILE\|HISTCONTROL\|HISTSIZE' /root/.bashrc /root/.profile /etc/profile /etc/bash.bashrc历史文件近乎为空但 wtmp、sshd 日志显示大量交互，是不一致的直接信号。
历史记录隐藏手法识别
常见隐藏手段包括 unset HISTFILE、HISTFILE=/dev/null、HISTSIZE=0 与命令前加空格（HISTCONTROL=ignorespace），识别这些配置可解释历史为何异常干净。
易错点
- 历史为空也可能是发行版默认配置或容器无交互 shell，需交叉验证
- HISTCONTROL=ignorespace 是常见默认配置，本身不是恶意特征
数据来源与参考
- GNU Bash 手册（HISTCONTROL 与 HISTFILE）