Silinen bir .bash_history dosyasını kurtarmaya çalışıyorum

0

Biraz adli tıp pratiği yapmak için bir görev. Bize VirtualBox görüntüleri verildi ve belirli bir kullanıcının ssh config'ini karıştırıp çözmediğini bulması söylendi.

Resmi salt okunur olarak monte ettim ve kullanıcının .bash_history okuduğunu gördüm:

rm .bash_history
exit

Sıkıştım. Bir tavsiyesi olan var mı?

Şu anda extcarve aracını ve çıktı dosyalarının ne olduğunu anlamaya çalışıyorum.

— user1399747
kaynak

Sınıf ne kadar zor? Henüz ham ext2 / 3/4 verilerini ayrıştırabilmenizi mi bekliyorlar ya da hala kolay şeylerde mi (sshd config dosyasının sahibi gibi)?

— Hennes

Extcarve ve Bulk Extractor gibi programlar çok incelikli değildi ...

— user1399747

1

Bunu yapmanın daha basit bir yolu olabilir, ama bu fiziksel bir makinede deneyeceğim şey:

İkinci bir sürücü ekle.
Bir önyükleme Ubuntu Canlı CD görüntüsü (tercihen 12.04 LTS).
Bir terminal aç ve yükle PhotoRec iterek
```
sudo apt-get install testdisk
```
Kurtarmak istediğiniz diski takın için .
PhotoRec'i Başlat:
```
sudo photorec
```
Uygun diski seçin.
Dışındaki her şeyin seçimini kaldır Txt içinde Dosya Seçimi .
Uygun bölümü seçin.
Uygun dosya sistemini seçin.
Ücretsiz yeterli olmalı. İle tekrar deneyebilirsin Bütün eğer değilse.
Takılan diskteki dosyalar için bir hedef seçin.
İşlemin bitmesini bekleyin.
Grep ile çıktıyı ara:
```
grep -R ssh_config /media/<mountpoint>
```

Bash'in geçmiş dosyasının parçalanmış olması muhtemel değildir, bu nedenle - dosyanın üzerine yazılmış değilse - bu çalışmalıdır.

Ne yaptığını bilen birisinin buna yakalanmayacağını unutmayın. Ayarla komutun geçmiş dosyaya kaydedilmesini engellemek kolaydır HISTCONTROL=ignorespace ve komutları bir boşlukla hazırlamak veya uygun bir şekilde çıkmadan terminali öldürmek.

— Dennis
kaynak

İyi tavsiye. Ne yazık ki, "ssh_config", sadece .h ve .java dosyalarını içeren faydalı bir şey yoktu. Sanırım daha sonra bu kullanıcının adını aramayı deneyeceğim. Aksi takdirde, biraz güdük oldum.

— user1399747

1

Bu, gerçeklerden sonra bir ders almaya zorlandığınız zamanlardan biridir.

.bash_history kullanıcılarınızın yaramaz olmadığından emin olmanın oldukça zayıf bir yoludur, ancak güvenli .bash_history ayarlayarak chattr bayraklar.

— jnovack
kaynak

Ekleme işlemini yalnızca bayrakla önceden ayarlamanız gerekir. Ve umarım kullanım bash'ı başka bir şey yerine kabuk olarak kullanır.

— Hennes

Evet, “gerçeğin ardından bir ders öğren” demenin bu kavramı kapsadığını hissettim.

— jnovack