User Logfiles: User hat sie editiert!

[WhiteVelvet]

Ein User unseres Linux-Root-Servers hat Logfiles editiert, um Spuren zu verwischen. Zumindest ist es seltsam, dass seine bash die Grösse 0 hat. Er hat aber bloss einen User-Account und keinen Root-Account. Gibts noch andere Logfiles, die er nicht editieren konnte? Vielleicht sowas wie ein Papierkorb?

[killermaster]

der user kann alles editieren was in seinem verzeichnis steht,(falls du das meinst)

mfg

[ZaCi]

Original geschrieben von WhiteVelvet
Ein User unseres Linux-Root-Servers hat Logfiles editiert, um Spuren zu verwischen. Zumindest ist es seltsam, dass seine bash die Grösse 0 hat. Er hat aber bloss einen User-Account und keinen Root-Account. Gibts noch andere Logfiles, die er nicht editieren konnte? Vielleicht sowas wie ein Papierkorb?


Linux-Root-Server?

Darf man fragen mit was fuer einem Kernel und was fuer Diensten drauf?

[WhiteVelvet]

Um Gottes willen, frag mich das nicht, ich bin nur die "Aushilfe", ich habe keine Ahnung :D

[(del676)]

ein user KANN keine logfiles editieren, ausser ein root hat in /var/log die berechtigungen umgesetzt

auf meinem gentoo kann ein user die logs ned mal lesen.
alle dateien die ein user editieren kann liegen unter /home/(L)user/

[WhiteVelvet]

Ok, und genau dort hat die Bash-Datei die Grösse 0. Kann ich also anders einsehen, wann jemand auf dem System was gemacht hat?

Oder die Beantwortung dieser Frage wäre noch eindeutiger für mich: Kann man die Ausgabe des "last" Befehls irgendwie manipulieren?

[(del676)]

ach du meinst die .bash_history

warum soll er die nicht löschen dürfen?
spionierst du alle benutzer so aus? na denn mahlzeit!

[killermaster]

LOL
wie ich vermutete...

[WhiteVelvet]

Wenn derjenige ein potentieller Viren-Lieferant ist, ja sicher. Und Anzeichen dafür gibt es inzwischen mehrere...

Ausserdem ist das hier kein Firmen-Server sondern ein Clan-Server mit 3 User Accounts. Also bitte Leute...

[killermaster]

userdel -r seinaccount

mfg

[WhiteVelvet]

Danke, den User lösche ich nun eh.

[Exxtreme]

Original geschrieben von WhiteVelvet
Danke, den User lösche ich nun eh.
Also wenn du wirklich den Verdacht hast, daß der User irgendwas gemacht hat, dann solltest du vlt. auch nach Rootkits suchen. Also von einer sauberen Linux-CD booten und mal ein Rootkit-Scanner starten. Eins heisst glaub' chrootkit oder so.

[(del676)]

app-admin/chkrootkit
Latest version available: 0.41-r1
Latest version installed: 0.41-r1
Size of downloaded files: 29 kB
Homepage: http://www.chkrootkit.org/
Description: a tool to locally check for signs of a rootkit
License: AMS