Área 03

Actividad del usuario

Los directorios personales guardan muchísima evidencia. Esta área cubre los formatos de historial de bash, zsh y fish, las señales de evasión del historial, known_hosts y authorized_keys, historiales de aplicaciones como .viminfo y .lesshst, y los cambios de cuentas en /etc/passwd y /etc/shadow.

~/.bash_history
~/.ssh/
~/.viminfo

Guías de esta área

Por ahora estas guías solo están publicadas en inglés. Los enlaces siguientes abren la versión en inglés.

03 · Actividad del usuarioInglés

Linux Shell History and User Activity Forensics

Reconstruct what a user did on a Linux host from bash, zsh and fish history, dotfiles, SSH files, sudo logs and account databases, and spot history evasion.

shell-historybashuser-activity

28 sept 2026

Fichas de artefactos

Dónde vive cada artefacto, qué demuestra, sus marcas de tiempo y las herramientas para analizarlo.

Historial de la shell: comandos de bash, zsh y fishHistorial de comandos por usuario de bash, zsh y fish en Linux: qué registra cada archivo, cuándo hay marcas de tiempo y cómo se delata la evasión.
Artefactos SSH: authorized_keys, known_hosts y logsArtefactos de OpenSSH en Linux (authorized_keys, known_hosts, configuración, claves de host, logs de sshd): accesos, persistencia y movimiento lateral.
viminfo, ShaDa and lesshst: Linux Editor and Pager HistoryVim viminfo, Neovim ShaDa and less history files on Linux: which files a user edited, what they searched for and typed, often after shell history is wiped.
/etc/passwd, shadow and group: Linux Local AccountsLinux local account databases (passwd, shadow, group, gshadow and their backups) that reveal rogue accounts, UID 0 clones and password change dates.
Logs de sudo: uso de privilegios en LinuxCómo registra sudo quién ejecutó qué como root en Linux: líneas de syslog y del journal, archivos de log opcionales, grabaciones de E/S y archivos sudoers.
recently-used.xbel: GNOME and GTK Recent Files on LinuxThe freedesktop recently-used.xbel file on Linux desktops: which files and URIs a user opened through GTK (and newer KDE) applications, with UTC times.
Tracker / LocalSearch DB: GNOME File Index on LinuxGNOME's Tracker and LocalSearch file index on Linux: SQLite databases listing indexed files, their timestamps and extracted content for a user's home.
Browser Profiles on Linux: Firefox and Chrome HistoryFirefox and Chrome/Chromium profile databases on Linux, including snap and Flatpak paths: history, downloads, epochs and how to query them offline.
udev and USB Device History on LinuxReconstruct USB device connections on Linux from kernel, udisks and USBGuard logs, and check udev rules used for RUN+= persistence.
Linux Trash: freedesktop .trashinfo Files and Deleted ItemsThe freedesktop.org Trash on Linux desktops: .trashinfo records with original path and deletion time, the trashed files themselves and per-volume trash folders.
Linux Thumbnail Cache: ~/.cache/thumbnails ForensicsThe freedesktop thumbnail cache on Linux: PNG previews named by the MD5 of the file URI, holding path and mtime, that outlive deleted files.
Snap and Flatpak Artifacts: Linux Sandboxed App ForensicsSnap and Flatpak evidence on Linux: snapd state.json change history, sideloaded snaps, Flatpak installations and remotes, and per-app data directories.

Todas las áreas