Bereich 03

Benutzeraktivität

Home-Verzeichnisse enthalten erstaunlich viele Spuren. Dieser Bereich behandelt die Historienformate von bash, zsh und fish, Anzeichen für verschleierte Historien, known_hosts und authorized_keys, Anwendungshistorien wie .viminfo und .lesshst sowie Kontoänderungen in /etc/passwd und /etc/shadow.

~/.bash_history
~/.ssh/
~/.viminfo

Leitfäden in diesem Bereich

Diese Leitfäden sind derzeit nur auf Englisch verfügbar. Die folgenden Links öffnen die englische Fassung.

03 · BenutzeraktivitätEnglisch

Linux Shell History and User Activity Forensics

Reconstruct what a user did on a Linux host from bash, zsh and fish history, dotfiles, SSH files, sudo logs and account databases, and spot history evasion.

shell-historybashuser-activity

28. Sept. 2026

Artefakt-Spickzettel

Wo jedes Artefakt liegt, was es belegt, seine Zeitstempel und die Tools zur Auswertung.

Shell-History: Befehlslogs von bash, zsh und fishBefehlshistorie pro Benutzer von bash, zsh und fish unter Linux: was jede Datei erfasst, wann es Zeitstempel gibt und wie sich Umgehung zeigt.
SSH-Artefakte: authorized_keys, known_hosts und sshd-LogsOpenSSH-Artefakte unter Linux (authorized_keys, known_hosts, Konfiguration, Host-Keys, sshd-Logs) als Beleg für Fernzugriff, Persistenz und Lateral Movement.
viminfo, ShaDa and lesshst: Linux Editor and Pager HistoryVim viminfo, Neovim ShaDa and less history files on Linux: which files a user edited, what they searched for and typed, often after shell history is wiped.
/etc/passwd, shadow and group: Linux Local AccountsLinux local account databases (passwd, shadow, group, gshadow and their backups) that reveal rogue accounts, UID 0 clones and password change dates.
sudo-Logs: Nachweise der Rechtenutzung unter LinuxWie sudo unter Linux festhält, wer was als root ausgeführt hat: syslog- und Journal-Zeilen, optionale Logdateien, I/O-Mitschnitte und sudoers-Richtlinien.
recently-used.xbel: GNOME and GTK Recent Files on LinuxThe freedesktop recently-used.xbel file on Linux desktops: which files and URIs a user opened through GTK (and newer KDE) applications, with UTC times.
Tracker / LocalSearch DB: GNOME File Index on LinuxGNOME's Tracker and LocalSearch file index on Linux: SQLite databases listing indexed files, their timestamps and extracted content for a user's home.
Browser Profiles on Linux: Firefox and Chrome HistoryFirefox and Chrome/Chromium profile databases on Linux, including snap and Flatpak paths: history, downloads, epochs and how to query them offline.
udev and USB Device History on LinuxReconstruct USB device connections on Linux from kernel, udisks and USBGuard logs, and check udev rules used for RUN+= persistence.
Linux Trash: freedesktop .trashinfo Files and Deleted ItemsThe freedesktop.org Trash on Linux desktops: .trashinfo records with original path and deletion time, the trashed files themselves and per-volume trash folders.
Linux Thumbnail Cache: ~/.cache/thumbnails ForensicsThe freedesktop thumbnail cache on Linux: PNG previews named by the MD5 of the file URI, holding path and mtime, that outlive deleted files.
Snap and Flatpak Artifacts: Linux Sandboxed App ForensicsSnap and Flatpak evidence on Linux: snapd state.json change history, sideloaded snaps, Flatpak installations and remotes, and per-app data directories.

Alle Bereiche