Linux 取证135 条

sudo 命令与会话字段解析

sudo 日志行包含 TTY、PWD、目标用户与完整命令，是还原“谁在哪个终端做了什么”的一手材料。

格式	alice : TTY=pts/0 ; PWD=/home/alice ; USER=root ; COMMAND=/bin/bash
要点	TTY 关联会话、COMMAND 记录目标程序

检索

grep 'COMMAND=' /var/log/auth.log | tail -20
grep 'USER=root ; COMMAND=' /var/log/auth.log | grep -v 'COMMAND=/usr/bin/' | tail

COMMAND 为 sudo 启动的目标程序，其子进程需要 auditd 或进程日志补全。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌