堡垒机的进一步改进

上节回顾

ok 我们接着上一步继续改进 上面我们已经能够通过堡垒机成功连接主机了，

现在我们就要去监控运维人员对主机的操作了

我们应该知道我们是通过堡垒机上的ssh 去连接主机的 那在我们的堡垒机上就应该有具体用户的账号，密码以及他管理的主机的信息，

我们在知道Linux中有一个strace命令，用来抓取一个进程的所有操作

那么首先我们要知道我们的程序是运行在那个进程下

我们通过 ps -ef 一下然后找到我们的程序

父进程为2504的真是我们 通过ssh远程连接的命令

我们现在   strace -f -p 2504 -o ssh.log

监控一下这个进程  我们在通过堡垒机连接上的主机去输入一些命令

然后我们打开ssh.log 这个文件   就会发下我们输入的命令

现在我们写一个.py 文件 然后去获取运维人员在这里输入的命令  我们将这个文件写入到backend中

#_*_coding:utf-8_*_

import re

class AuditLogHandler(object):
    ‘‘‘分析audit log日志‘‘‘

    def __init__(self,log_file):
        self.log_file_obj = self._get_file(log_file)

    def _get_file(self,log_file):

        return open(log_file)

    def parse(self):
        cmd_list = []
        cmd_str = ‘‘
        catch_write5_flag = False #for tab complication
        for line in self.log_file_obj:
            #print(line.split())
            line = line.split()
            try:
                pid,time_clock,io_call,char = line[0:4]
                if io_call.startswith(‘read(4‘):
                    if char == ‘"\\177",‘:#回退
                        char = ‘[1<-del]‘
                    if char == ‘"\\33OB",‘: #vim中下箭头
                        char = ‘[down 1]‘
                    if char == ‘"\\33OA",‘: #vim中下箭头
                        char = ‘[up 1]‘
                    if char == ‘"\\33OC",‘: #vim中右移
                        char = ‘[->1]‘
                    if char == ‘"\\33OD",‘: #vim中左移
                        char = ‘[1<-]‘
                    if char == ‘"\33[2;2R",‘: #进入vim模式
                        continue
                    if char == ‘"\\33[>1;95;0c",‘:  # 进入vim模式
                        char = ‘[----enter vim mode-----]‘

                    if char == ‘"\\33[A",‘: #命令行向上箭头
                        char = ‘[up 1]‘
                        catch_write5_flag = True #取到向上按键拿到的历史命令
                    if char == ‘"\\33[B",‘:  # 命令行向上箭头
                        char = ‘[down 1]‘
                        catch_write5_flag = True  # 取到向下按键拿到的历史命令
                    if char == ‘"\\33[C",‘:  # 命令行向右移动1位
                        char = ‘[->1]‘
                    if char == ‘"\\33[D",‘:  # 命令行向左移动1位
                        char = ‘[1<-]‘

                    cmd_str += char.strip(‘"",‘)
                    if char == ‘"\\t",‘:
                        catch_write5_flag = True
                        continue
                    if char == ‘"\\r",‘:
                        cmd_list.append([time_clock,cmd_str])
                        cmd_str = ‘‘  # 重置
                    if char == ‘"‘:#space
                        cmd_str += ‘ ‘

                if catch_write5_flag: #to catch tab completion
                    if io_call.startswith(‘write(5‘):
                        if io_call == ‘"\7",‘: #空键，不是空格，是回退不了就是这个键
                            pass
                        else:
                            cmd_str += char.strip(‘"",‘)
                        catch_write5_flag = False
            except ValueError as e:
                print("\033[031;1mSession log record err,please contact your IT admin,\033[0m",e)

        #print(cmd_list)
        for cmd in cmd_list:
            print(cmd)
        return cmd_list
if __name__ == "__main__":
    parser = AuditLogHandler(‘ssh.log‘)
    parser.parse()

大家优有没有发现一个问题  emmmmm

哈哈  我们现在是可以记录运维人员的输入的命令 和时间了 但是我们不知道是谁输入的命令，那么我们该怎么办呢

我们这个命令是怎么记录的 我们是通过  抓取进程 然后记录这个进程的操作

我们知道我每当一个用户通过堡垒机去连接主机就会起一个进程 我们就可以通过分析这个进程然后去判断是有那个运维人员去连接的

ok  接下来我们就去分析如何去通过进程去判断是有那个运维人员去连接的

我们是通过ssh去远程连接主机的 那么 就给ssh 连接时  加一个标识符   

类似这样 然后我们去分析标识符 去判断是那个运维人员去连接的

那么我就需要修改 ssh 源码 具体操作如下

我么打开 openssh 然后找到ssh.c

ok  -Z asdf 就是我们的标识符  哈哈哈  大家记得 在虚拟机上一定要装两个Ubuntu哦 否则本机连本机 标识符 会没有效果

现在将我们的标识符添加到我们的user_loginPoint.py上

然后我们通过堡垒机账号登录成功之后就会发现我们的标识符

现在我们有这个标识符了

我们接下来就写一个shell程序去检测这个标识符

 1 #!/bin/bash
 2
 3
 4
 5 #echo #print
 6 #echo $1 $2
 7 md5_str=$1
 8
 9 for i in $(seq 1 30);do
10
11    ssh_pid=`ps -ef |grep $md5_str |grep -v grep |grep -v session_tracker.sh|grep -v sshpass |awk ‘{print $2}‘`
12    echo "ssh session pid:$ssh_pid"
13    if [ "$ssh_pid" = "" ];then
14       sleep 1
15       continue
16    else
17         today=`date  "+%Y_%m_%d"`
18         today_audit_dir="logs/audit/$today"
19         echo "today_audit_dir: $today_audit_dir"
20         if [ -d $today_audit_dir ]
21         then
22             echo " ----start tracking log---- "
23         else
24             echo "dir not exist"
25             echo " today dir: $today_audit_dir"
26             sudo mkdir -p $today_audit_dir
27         fi;
28         echo 123 | sudo -S /usr/bin/strace -ttt -p $ssh_pid -o "$today_audit_dir/$md5_str.log"
29       break
30    fi;
31
32
33
34 done;

在settings中配置调用路径

顺便再配置一个存放日志的目录

然后再在user_loginPoint.py中调用

把这个文件放在backeng目录下

我们梳理一下这个程序的执行过程

切换到root账户下

vim etc/sudoers

如果大家不知道自己的root密码 那就进入Ubuntu的单用户模式去修改

现在运维人员登录堡垒机就操作主机我们就可以对他的操作进行记录了

但是现在我们在日志中只能看见的是时间和操作命令 没有堡垒机用户和主机 但是我们在user_loginPoint中已经获取了 堡垒机用户和主机

首先我们在数据创建一个存储session的表

class SessiongLog(models.Model):
    """存储session日志"""

    user = models.ForeignKey("UserProfile",on_delete=True)
    bind_host = models.ForeignKey("BindHost",on_delete=True)
    session_tag = models.CharField(max_length=128)
    data = models.DateTimeField(auto_now_add=True)
    def __str__(self):
        return self.session_tag

然后在user_loginPoint.py中去获取并存储session

记得在settings中配置路径

然后改进一下前面写的shell脚本

网上白嫖的   我也看不懂

将这些程序装到我们的linux中后大家会发现

有很多命令不能执行 这是因为  有些命令 权限不够

在shell脚本中的mkdir 需要配置权限 好像是mkdir 创建目录是需要 sudo权限

还有 要将Eat_bee_dung目录的属主权限修改成eat_bee_dung用户的

现在在python中运行 我们的程序 就可以了

原文地址：https://www.cnblogs.com/langjitanya/p/11597358.html