Это для назначения, чтобы практиковать немного судебной экспертизы. Мы получили образы VirtualBox и сказали выяснить, не испортил ли определенный пользователь конфигурацию ssh.
Я смонтировал образ только для чтения и обнаружил, что .bash_history пользователя читает:
rm .bash_history
exit
Я застрял У кого-нибудь есть совет?
В настоящее время я пытаюсь (безуспешно) выяснить инструмент extcarve, и каковы его выходные файлы.
Это один из тех случаев, когда вы вынуждены выучить урок после свершившегося факта.
.bash_history - довольно слабый способ убедиться, что ваши пользователи не шутили, однако вы можете защитить .bash_history , установив флаги chattr .
Там может быть более простой способ сделать это, но это то, что я бы попробовал с физической машиной:
Добавьте второй диск.
Загрузитесь с образа Ubuntu Live CD (желательно 12.04 LTS).
Откройте терминал и установите PhotoRec , выполнив
sudo apt-get install testdisk
Установите диск , который вы хотите восстановить в.
Запустите PhotoRec:
sudo photorec
Выберите подходящий диск.
Отмените выбор всего, кроме TXT в File Opt.
Выберите соответствующий раздел.
Выберите подходящую файловую систему.
Свободного должно хватить. Вы можете повторить попытку с Whole, если это не так.
Выберите место для файлов на смонтированном диске.
Дождитесь окончания процесса.
Найдите вывод с помощью grep:
grep -R ssh_config /media/<mountpoint>
Файл истории Bash вряд ли станет фрагментированным, поэтому - если файл уже перезаписан - это должно работать.
Имейте в виду, что кто-то, кто знает, что он делает, не будет пойман этим. Легко предотвратить сохранение команды в файле истории, установив HISTCONTROL=ignorespace и добавив команды с пробелом или просто убив терминал, не выходя должным образом.