Daten einer SSH session auslesen

**__coredump__** · 21.06.04, 10:38

Hallo,

ich habe hier ein kleines Programm gebaut was Änderungen an dateien überwacht (mit hilfe von fam).

Jetzt meine Frage.
Wenn sich jemand per ssh einloggt steht ja (bei dem) in $SSH_CLIENT seine ip adresse drin.

Kann ich ihrgendwie diese IP auslesen?
Also fam liefert mir leider nicht das TTY sonst koennte ich das ja mit "$ w" "ergreppen" ...

Jemand eine Idee ?

Vielen Dank.

Jan

**Blackhawk** · 21.06.04, 10:43

Da die Variable ja in der Umgebung des Users auftaucht, wie waere es mit einem Anmeldescript, das die Variable irgendwo wegschreibt?

**__coredump__** · 21.06.04, 16:34

Zitat von Blackhawk

Da die Variable ja in der Umgebung des Users auftaucht, wie waere es mit einem Anmeldescript, das die Variable irgendwo wegschreibt?

Im Prinzip eine gute Idee, aber wie bekomme ich mit welches TTY den Befehl ausführt. (Die Benutzer sind immer mit dem gleichen Benutzernamen drin)

Gruss
Jan

**Schärple** · 21.06.04, 17:24

Hast Dus schonmal mit "who" versucht?

**__coredump__** · 22.06.04, 09:59

ja schon das giebt ja noch weniger aus wie w

aber das problem ist ja folgendes

who gieb z.b. aus

Code:

r232     pts/3        Jun 22 10:56 (p50840e09.dip0.t-ipconnect.de)
r232     pts/4        Jun 22 10:56 (p60440e19.dip0.t-ipconnect.de)
r232     pts/5        Jun 22 10:56 (p70240e49.dip2.t-ipconnect.de)
r232     pts/6        Jun 22 10:56 (p80140e29.dip0.t-ipconnect.de)

so jetzt macht der r232 auf pts/5 eine Änderung in der Datei /home/r232/test.txt
dann sagt mir mein fam "Hallo da hat jemand die Datei test.txt in /home/r232 geändert."
und ich will jetzt halt das mir mein fma sagt.

"Hallo da hat der Benutzer r232 von dem HOST: p70240e49.dip2.t-ipconnect.de die Datei test.txt in /home/r232 geändert."

soweit klar was ich will

?

Danke
Jan

**Blackhawk** · 22.06.04, 10:27

Schreib halt einfach beim anmelden rein, "User xy hat sich von host $ssh_host connectet." Und wenn du willst noch ein losgout script in der selben form. Dann weisst du: File abc.conf wurde um 18.00 geaendert, user xy war 17.30 bis 18.0 von host fgh online...

**__coredump__** · 22.06.04, 11:26

hmm nicht so wirklich was ich will.

wenn jetzt sagen wir mal 20 stueck gleichzeitig eingeloggt sind , ich diese leute aber nicht kenne und einer von denen die datei editiert, dann muesste ich 20 leute fragen "warst du das?" und alle sagen "nein"

und was passiert z.b. wenn einer eine sicherheitsluecke im apache ausnutzt und ne shell bekommt ... (das waere aber schon ein weiterer schritt)

hmm scheint mir nichts ueber nen kernelpatch allah grsec zu gehen ...

Gruss
Jan