ローカルシステムでのリモートsshfsインストールの検出

Question

サーバ側は、クライアントが SSHFS を介してアクセスする SFTP セッションと、クライアントが他のクライアントソフトウェアを介してアクセスする SFTP セッションを区別することはできません。しかし、SFTPセッションに関するより多くの情報を確実に得ることができます。

各SFTPセッションには関連付けられたsftp-serverプロセスがあります。 Linuxでは、実行中のプロセスIDをsftp-server使用または一覧表示できます。または、次のPOSIX互換コマンドを使用できます（必要に応じてパスを調整する）。pgrep -x sftp-serverps -C sftp-serversftp-server

ps -e -o pid,cmd | sed -n 's!^\([0-9]*\) /usr/lib/openssh/sftp-server$!\1!p'

このプロセスは、SFTPへのログインに使用されるユーザーアカウントで実行されます。 SFTP セッションの開始時に開始されます。

ps -e -o pid,user,etime,cmd |
awk '$4 == "/usr/lib/openssh/sftp-server" {print "pid=" $1, "user=" $2, $3 " ago"}'

POSIXの開始時刻の表示は面倒です。日付ではなく、プロセスが開始されてから経過した時間がわかります。ほとんどのシステムにはより便利な機能があります。 Linuxではより多くのフォーマットを使用できますが、実際には便利なフォーマットはありません。日付はフィールド22から取得されますが、/proc/$pid/stat面倒です。古い（<2.6）カーネルを除いて、クロックサイクル（除算またはgetconf CLK_TCK返された値sysconf(_SC_CLK_TCK)）の開始日です。 jiffies（値を見つけるのが難しい）安定して出力されます。）開始時間は、開始後に秒単位で表示される行btimeの値です。/proc/stat連帯（あなたが望むかもしれません人間が読める形式に変換）。

cat /proc/$pid/stat | awk '
    BEGIN {
        "getconf CLK_TCK" | getline ticks;
        while (!btime) {
            getline <"/proc/stat";
            if ($1 == "btime") btime = $2;
        }
    }
    { print "pid=" $1, "start_time=" int($22 / ticks + btime) }'

SSH_CLIENTプロセス環境の変数を見ると、クライアントのIPアドレスとポートを見つけることができます。ほとんどのUnixバリアントにはこれを行う方法がありますが、POSIXはまだそれを標準化していません。 Linuxでは、次のものを使用できます。

</proc/$pid/environ grep -z '^SSH_CLIENT='

インストールがどのディレクトリにあるのかわからないと思います。 SSHFS クライアントは、アクセスする各ファイルに関する情報を送信します。

これらすべてのデータを収集できるプログラムはありませんが、頻繁に実行するわけではないので、おそらく私が知らないプログラムがあります。

Answer 1