मुझे यह पता कैसे चलेगा कि कब और किसके द्वारा एक विशेष उपयोगकर्ता को लिनक्स में हटा दिया गया था?


1

मैं हाल ही में एक सिस्टम पर बहुत अजीब घटना में भाग गया हूं जिसका मैं उपयोग कर रहा हूं। बिना किसी स्पष्ट कारण के, मेरा उपयोगकर्ता खाता हटा दिया गया था, हालांकि होम डायरेक्टरी अभी भी है।

मेरे पास रूट एक्सेस है, इसलिए मैं खाते को पुनर्स्थापित कर सकता हूं, लेकिन पहले, मैं जानना चाहता हूं कि यह कैसे हुआ, और वास्तव में कब। रूट की .bash_history फ़ाइल और "अंतिम" कमांड का निरीक्षण करने से कुछ नहीं हुआ, और मैं सिस्टम पर एकमात्र sudoer हूं।

मुझे यह कैसे पता चलेगा कि यह विलोपन कब हुआ?

डिस्ट्रो CentOS रिलीज 5.4 (फाइनल) है, अगर यह मदद करता है।

जवाबों:


0

यदि आप केवल sudoer हैं, और रूट के लिए कानूनी पहुंच वाला एकमात्र है, तो आपका सर्वर सभी संभावित खुर में था। बहुत से (कम कुशल) पटाखे काउंटर अकाउंट को रोकने के लिए रूट अकाउंट को डिलीट या डिसेबल कर देंगे। अपने डेटा का बैकअप लें और पुनर्स्थापित करें, या यदि आप सुरक्षा ऑडिट करने में सक्षम हैं और छेद वाले पटाखे का पता लगाएं, तो ऐसा करें।


1
यह वास्तव में क्या हुआ है। किसी ने पहले एक नियमित उपयोगकर्ता के रूप में पहुंच प्राप्त की, फिर कई ऐप-स्तरीय उपयोगकर्ताओं ("ओरेकल") के रूप में लॉगिन करने की कोशिश की, और अंत में "देव" के रूप में लॉगिन करने में कामयाब रहा, जो वास्तव में रूट (उपयोगकर्ता 0) के समान उपयोगकर्ता है।
executor21

सभी को यह बताने के लिए धन्यवाद कि क्या हुआ था। दूसरों को देखने के लिए इसकी अच्छी जानकारी। यदि आपके ओरेकल का उल्लेख इस बात का कोई संकेत है कि सर्वर क्या करता है, तो आपको एक पूर्ण ऑडिट करने की आवश्यकता है। आपको किसी भी तरह से करना चाहिए और यदि संभव हो तो अपने डेटा, स्क्रिप्ट, प्रोग्राम, उपयोगकर्ता की पहुंच आदि का ऑडिट करना चाहिए।
deltaray

एक और बात: नहीं भरोसा जब तक कि आप ऑडिट न करें, तब तक बैकअप डेटा। वास्तव में दुर्भावनापूर्ण पटाखा आपके ओरेकल डेटाबेस के साथ खेल सकता है। अगर वहाँ वित्तीय या चिकित्सा डेटा है, तो आपके पास रिसाव की संभावना की रिपोर्ट करने के लिए कानूनी दायित्व हो सकते हैं।
CarlF

2

यह वास्तव में इस बात पर निर्भर करता है कि इसे कैसे हटाया गया और अन्य उपयोगकर्ताओं के संबंध में, लेकिन यहां कुछ तकनीकों की कोशिश की जा सकती है:

  • देखें कि क्या आपका उपयोगकर्ता अभी भी पासवार्ड में सूचीबद्ध है। यदि यह नहीं है, तो देखें कि क्या पासवार्ड नामक फाइल में, जो कि पासवार्ड से बना बैकअप है। अगर वहाँ में है, तो उस पुरानी फ़ाइल पर टाइमस्टैम्प संभवतः इंगित करेगा जब खाता हटा दिया गया था।
  • यह संभव है कि विलोपन रूट या कुछ उपयोगकर्ता में है।
  • यदि यह sudo या कुछ और के माध्यम से किया गया था, तो यह / var / log / संदेश में हो सकता है

यही सब मैं अभी सोच सकता हूं। संभवतः कुछ अन्य तकनीकें।

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.