5つのCentOS 6 Linuxシステムを使用していますが、所有しているすべてのLinuxシステムで、ユーザーIDでのみ発生するように思われる奇妙な問題が発生しました。これは、lastコマンドから除外したエントリの問題の例です。 。
mpenning pts/19 Fri Nov 16 10:32 - 10:35 (00:03)
mpenning pts/17 Fri Nov 16 10:21 - 10:42 (00:21)
bill pts/15 sol-bill.local Fri Nov 16 10:19 - 10:36 (00:16)
mpenning pts/1 192.0.2.91 Fri Nov 16 10:17 - 10:49 (12+00:31)
kkim14 pts/14 192.0.2.225 Thu Nov 15 18:02 - 15:17 (4+21:15)
gduarte pts/10 192.0.2.135 Thu Nov 15 12:33 - 08:10 (11+19:36)
gduarte pts/9 192.0.2.135 Thu Nov 15 12:31 - 08:10 (11+19:38)
kkim14 pts/0 :0.0 Thu Nov 15 12:27 - 15:17 (5+02:49)
gduarte pts/6 192.0.2.135 Thu Nov 15 11:44 - 08:10 (11+20:25)
kkim14 pts/13 192.0.2.225 Thu Nov 15 09:56 - 15:17 (5+05:20)
kkim14 pts/12 192.0.2.225 Thu Nov 15 08:28 - 15:17 (5+06:49)
kkim14 pts/11 192.0.2.225 Thu Nov 15 08:26 - 15:17 (5+06:50)
dspencer pts/8 192.0.2.130 Wed Nov 14 18:24 still logged in
mpenning pts/18 alpha-console-1. Mon Nov 12 14:41 - 14:46 (00:04)
上記の私のptsログインエントリのうち、ソースIPアドレスが関連付けられていないものが2つ表示されています。私のCentOSマシンには、システムを共有する他の6人のユーザーがいます。ログインの約10％でこの問題が発生していますが、他のユーザー名でこの現象が発生することはありません。/var/log/secure送信元IPアドレスのないエントリのエントリはありません。
ご質問
これらのシステム（ネットワークインフラストラクチャの大部分を制御している）で保持しているスクリプトの種類を考えると、これに少し驚いているので、ログインでソースアドレスを見逃す原因を理解したいと思います。
- なぜPTS行エントリに対して
last -i表示さ0.0.0.0れるのですか（この回答も参照してください） - 動作を合理的に説明するもの（悪意のあるアクティビティ以外）はありますか？
- bash履歴のタイムスタンプ以外に、問題を追跡するためにできることは他にありますか？
情報提供
この始めた出来事以来、私は有効なbash履歴タイムスタンプ（すなわちHISTTIMEFORMAT="%y-%m-%d %T "中.bash_profile）とも加える他のいくつかのbashの履歴ハックを。しかし、それは以前の出来事の間に何が起こったのかについての手がかりを与えません。
すべてのシステムがCentOS 6.3を実行しています...
[mpenning@typo ~]$ uname -a
Linux typo.local 2.6.32-279.9.1.el6.x86_64 #1 SMP Tue Sep 25 21:43:11 UTC 2012 x86_64 x86_64 x86_64 GNU/Linux
[mpenning@typo ~]$
編集
を使用するとlast -i mpenning、次のようなエントリが表示されます...
mpenning pts/19 0.0.0.0 Fri Nov 16 10:32 - 10:35 (00:03)
mpenning pts/17 0.0.0.0 Fri Nov 16 10:21 - 10:42 (00:21)
答えようとしている人への注意：コマンドまたはGUIでログインしていませんscreen。私のログインはすべてSSHからのものです。バウンティ賞を受賞するには、SSHのみをソースとするエントリを説明するための信頼できる参照を引用する必要がありlast -i 0.0.0.0ます。
編集2（ewwhiteの質問用）
/etc/resolv.conf（会社の情報を隠すために上記の出力で.localaddrs を使用したことに注意してlastください）
[mpenning@sasmars network]$ cat /etc/resolv.conf
nameserver 192.0.2.40
nameserver 192.0.2.60
domain mycompany.com
search mycompany.com
[mpenning@sasmars network]$
/etc/hosts info（このカスタマイズされたhostsファイルは、これらの問題があるマシンの1つにのみ存在することに注意してください）
[mpenning@sasmars network]$ cat /etc/hosts
127.0.0.1 localhost.localdomain localhost
192.0.2.44 sasmars.mycompany.com sasmars
::1 localhost6.localdomain6 localhost6
## Temporary kludge until I add reverse hostname mappings...
## Firewalls
192.0.2.254 a2-inet-fw1
192.0.2.253 a2-inet-fw2
192.0.2.254 a2-wan-fw1
192.0.2.253 a2-wan-fw2
192.0.2.201 a2-fab-fw1
192.0.2.202 a2-fab-fw2
192.0.2.203 t1-eds-fw1
192.0.2.42 sasvpn
192.0.2.246 sasasa1
192.0.2.10 sasoutfw1
## Wireless
192.0.2.6 saswcs1
192.0.2.2 l2wlc3
192.0.2.4 l2wlc4
192.0.2.12 f2wlc5
192.0.2.16 f2wlc6
192.0.2.14 f2wlc1
192.0.2.8 f2wlc2
[mpenning@sasmars network]$
sftp/var/log/secure* からの出力
Dec 26 10:36:37 sasmars sshd[26016]: pam_sm_authenticate: called (pam_tacplus v1.3.7)
Dec 26 10:36:37 sasmars sshd[26016]: pam_sm_authenticate: user [mpenning] obtained
Dec 26 10:36:37 sasmars sshd[26016]: tacacs_get_password: called
Dec 26 10:36:37 sasmars sshd[26016]: tacacs_get_password: obtained password
Dec 26 10:36:37 sasmars sshd[26016]: pam_sm_authenticate: password obtained
Dec 26 10:36:37 sasmars sshd[26016]: pam_sm_authenticate: tty [ssh] obtained
Dec 26 10:36:37 sasmars sshd[26016]: pam_sm_authenticate: rhost [192.0.2.91] obtained
Dec 26 10:36:37 sasmars sshd[26016]: pam_sm_authenticate: trying srv 0
Dec 26 10:36:38 sasmars sshd[26016]: Accepted password for mpenning from 192.0.2.91 port 55118 ssh2
Dec 26 10:36:38 sasmars sshd[26016]: pam_sm_setcred: called (pam_tacplus v1.3.7)
Dec 26 10:36:38 sasmars sshd[26016]: pam_unix(sshd:session): session opened for user mpenning by (uid=0)
Dec 26 10:36:38 sasmars sshd[26018]: pam_sm_setcred: called (pam_tacplus v1.3.7)
Dec 26 10:36:38 sasmars sshd[26018]: subsystem request for sftp
Dec 26 10:37:20 sasmars sshd[26016]: pam_unix(sshd:session): session closed for user mpenning
Dec 26 10:37:20 sasmars sshd[26016]: pam_sm_setcred: called (pam_tacplus v1.3.7)
最終解決
以下の私の答えをご覧ください
last -i mpenningは空白が表示されますか？