要追溯sudo执行的命令，需查看系统日志或配置sudo日志；在Ubuntu/Debian中查/var/log/auth.log，CentOS/RHEL中查/var/log/secure，或使用journalctl _COMM=sudo筛选；通过配置/etc/sudoers中的Defaults logfile可指定专用日志文件，提升可读性与管理效率；history命令无法显示完整sudo执行内容，因其仅记录用户输入的命令行，不记录提权后实际执行的命令详情；为实现细粒度审计，可启用auditd服务或在visudo中设置log_input和log_output以记录输入输出，但需注意性能与隐私影响。
想在Linux系统里追溯谁用
sudo
执行了什么命令，什么时候执行的，这事儿说起来并不复杂，核心就是去查系统日志，以及一些配置得当的
sudo
设置。它不像我们平时用的
history
命令那样直观，因为
sudo
操作通常会被记录在更底层的系统日志里。
解决方案
要查看
sudo
执行的历史记录，我们主要有以下几个途径：
首先，最直接也最常用的方法是检查系统的认证日志。在基于Debian的系统（如Ubuntu）上，这通常是
/var/log/auth.log
；而在基于Red Hat的系统（如CentOS, Fedora）上，则可能是
/var/log/secure
。这些日志文件会详细记录用户使用
sudo
进行提权操作的尝试和成功执行的命令。你可以用
grep
命令配合
sudo
关键字来筛选出相关条目。
# Ubuntu/Debian系统grep "sudo" /var/log/auth.log# CentOS/RHEL系统grep "sudo" /var/log/secure
如果你的系统使用
systemd
，那么
journalctl
会是另一个强大的工具，它能聚合所有日志，包括
sudo
相关的事件。
journalctl _COMM=sudo# 或者筛选特定用户journalctl _COMM=sudo _UID=1000 # 假设用户ID是1000
其次，
sudo
本身就提供了强大的日志记录功能，但它需要你在
/etc/sudoers
文件里进行配置。通过设置
Defaults logfile=/var/log/sudo.log
这样的选项，你可以让
sudo
将所有执行的命令单独记录到一个指定的文件中。这比在
auth.log
或
secure
里大海捞针要方便得多，也更具可读性。
最后，对于需要更高级审计的场景，
auditd
服务是一个非常全面的选择。它可以监控系统上的几乎所有活动，包括
sudo
命令的执行。虽然配置起来稍微复杂，但它能提供最细粒度的控制和最详尽的记录。
如何快速筛选出特定用户的sudo操作记录？
当我们面对海量的日志文件时，要从里面找到特定用户执行的
sudo
命令，确实需要一些技巧。我个人习惯用
grep
命令配合正则表达式，或者直接利用
journalctl
的筛选能力。
比如，你想查找用户
your_username
执行的所有
sudo
命令，可以这样做：
# 在auth.log或secure日志中筛选grep "sudo.*your_username" /var/log/auth.log# 或者更精确地匹配命令执行者的用户名grep "COMMAND=(.*) FOR your_username" /var/log/auth.log
这里
COMMAND=(.*) FOR your_username
是一个常见的日志模式，
sudo
成功执行命令后会记录执行的命令和执行者。
如果你已经配置了
sudo
的专用日志文件（比如
/var/log/sudo.log
），那么筛选会更简单：
grep "your_username" /var/log/sudo.log
对于
journalctl
，筛选特定用户同样直观：
journalctl _COMM=sudo _UID=$(id -u your_username)# 或者直接按用户名筛选，虽然不总是精确匹配执行sudo的用户，但通常能找到相关条目journalctl | grep "sudo.*your_username"
有时候，我们还需要按时间范围来筛选。
journalctl
在这方面表现优秀：
journalctl --since "2023-01-01 00:00:00" --until "2023-01-01 23:59:59" _COMM=sudo
这些方法能帮助我们快速定位到感兴趣的
sudo
操作，大大提高了排查效率。
为什么我使用history命令看不到完整的sudo历史？
这是一个非常普遍的疑问，我刚接触Linux那会儿也为此困惑过。简单来说，
history
命令记录的是你当前shell会话中输入的命令，它属于你的用户环境。而
sudo
命令的执行，虽然是你输入的，但它以root或其他指定用户的权限运行，并且其执行结果（包括具体的命令）通常不会直接写入你当前用户的shell历史文件（比如
~/.bash_history
或
~/.zsh_history
）。
当你输入
sudo apt update
时，
sudo
这个命令本身会被记录在你的
history
里，但
apt update
这个动作的“提权”和“执行”过程，以及它背后的真正命令，是作为
root
用户（或目标用户）的操作来处理的。除非你做了特殊的配置，比如将
sudo
的输出重定向到某个文件，或者使用了
sudo -s
切换到root shell，然后在这个root shell里执行命令，那些命令才会被记录到root用户的
history
里（如果root用户有启用历史记录的话）。
所以，
history
命令的局限性在于它只记录了“你输入了
sudo
”这个动作，而没有记录“
sudo
后面实际执行了什么命令”这个更关键的信息。这就是为什么我们需要依赖系统日志来追踪
sudo
的实际执行内容。它俩记录的层次和目的完全不同。
如何配置sudo以更有效地记录命令执行？
要让
sudo
更有效地记录命令执行，你需要修改
/etc/sudoers
文件。这个文件是
sudo
的核心配置文件，但切记要使用
visudo
命令来编辑它，而不是直接用文本编辑器。
visudo
会在你保存前检查语法错误，避免因为配置错误导致
sudo
无法使用，那可就麻烦了。
在
/etc/sudoers
中，你可以添加或修改一些
Defaults
行来控制
sudo
的日志行为。
最常用的配置是指定一个专门的日志文件：
Defaults logfile=/var/log/sudo.log
加上这行后，所有通过
sudo
执行的命令都会被记录到
/var/log/sudo.log
中。这比从
auth.log
或
secure
中筛选要清晰得多，也更方便管理。
如果你想记录用户在执行
sudo
命令时输入的全部内容（包括参数），甚至包括命令的输出，
sudo
也提供了这样的选项，但需要谨慎使用，因为它会占用大量磁盘空间并可能涉及敏感信息：
Defaults log_inputDefaults log_output
Defaults log_input
：会记录用户在
sudo
命令后输入的完整命令行（包括所有参数）。
Defaults log_output
：会记录
sudo
命令执行后的标准输出和标准错误输出。
这些日志信息通常会存储在一个专门的目录中，例如
/var/log/sudo-io/
，并且会按用户和会话进行组织。这对于深入分析某个特权操作的完整过程非常有帮助，但在实际生产环境中，由于日志量巨大且可能包含敏感数据，开启
log_output
需要仔细权衡利弊。
在配置这些选项时，我通常会建议先在测试环境里尝试，确保日志文件权限设置正确，并且不会对系统性能或存储空间造成意想不到的影响。毕竟，日志的目的是为了审计和安全，而不是制造新的问题。
以上就是Linux如何查看sudo执行的历史记录的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/204680.html
微信扫一扫 
支付宝扫一扫 
