服务器管理员可以看到我通过 SCP 复制的内容吗？

Question

假设我通过 SCP 连接到服务器并将一些文件从远程服务器复制到我的家用计算机。服务器管理员能否告诉我复制了什么，查看复制了什么，或者知道谁复制了它？

Answer 1

不仅仅是管理员。

为了测试，我只是/bin从我的服务器复制到我笔记本电脑上的一个临时目录。ps在服务器上显示

$ ps 24096
  PID TTY      STAT   TIME COMMAND
24096 ?        Ss     0:00 scp -r -f /bin

该信息通常可供所有用户访问。

Answer 2

ServerFault 问题几乎与此相同。希望您在发布问题之前检查过，但您的问题有点不同，所以我会在这里回答。

简短的回答是，如果任何人有访问和权限到端点（你在该系统scp由荷兰国际集团或scp荷兰国际集团到），他们可以看到发生了什么。如果他们无权访问任一端点，则他们可能无法访问或无法破译您在做什么（除了可能通过协议编号了解应用程序）。

答案最终非常依赖于您的基础设施。不过，最有可能的是，只要没有严密的监控并且 SCP 在公司中不被视为威胁（这会引发危险信号），您的流量就会被忽视。对于小公司来说尤其如此。

正如@SimonRichter提到的：如果有人可以在您的系统上执行命令（即管理员或其他人），他们可以检查您的进程列表并查看命令行scp -args /filepath/。但是，这要求他们要么记录所有流程活动，要么在您传输时进行检查。此外，如果您在工作中从自己的系统到另一个系统（例如在家或其他地方）执行此操作，则它们不一定具有该可见性。

此外，正如@alex.forencich 提到的：还可以记录所有系统调用（包括文件打开和读取调用），因此即使您的复制程序（scp、sftp 等）没有记录或泄漏任何内容（命令行参数） )，仍然可以找出读取或写入的文件。参见linux审计系统。——

Answer 3

scp在服务器上运行的代码的帮助下工作（sshd, 和scp本身）。该服务器代码理论上完全在服务器管理员的控制之下，并且在服务器上scp运行的版本将文件写下来连接到您，与scp在您的机器上运行以发出请求的版本是分开的。

举例来说，服务器管理员可以scp将服务器上的版本替换为记录所有请求的版本，就像 Web 服务器可以写入日志一样。然后他们可以从这些日志中准确地看到您复制的内容。

他们是否具有实际执行此操作的专业知识和动机尚不确定，但如果他们愿意，那么原则上没有什么可以阻止他们。

我认为这些问题是你的伴侣：https : //security.stackexchange.com/questions/14782/is-there-an-easy-way-to-see-a-log-of-scp-activity-on-a -server-ala-var-log-secu , https://askubuntu.com/questions/659896/where-would-you-find-scp-logs

虽然我不知道所有细节，但它似乎是开箱即用的，scp并且sshd 没有选项来记录您所询问的内容。因此，也许需要的不仅仅是简单的配置，但您无法摆脱管理员控制服务器的事实。

Answer 4

任何未经加密通过计算机内存的内容都可以由该计算机上具有足够特权的用户读取或更改。

Linux 上的任何登录用户都可以访问正在运行的进程的名称和用于启动它们的命令行。（出于好奇，这在 Windows 上不是这种情况。）因此，管理员或碰巧在附近的任何其他人都可以看到您复制了哪些文件。此外，管理员完全有可能设置某种文件访问日志，或者scp在一端替换/调整程序以进行额外的日志记录。

scp只是保护您免受网络嗅探器的侵害。显然，两端都必须知道解密的数据，因此任一端点上的老练管理员都有机会从scp的内存中提取数据。其他解决方案，即使是那些不涉及命令行的解决方案，也对此持开放态度：两端都sftp知道发生了什么，因此可以通过内存检查来确定sftp正在思考/传输的内容。

Answer 5

一个经验法则是，拥有 root 访问权限的人可以知道一切（如果他愿意检查的话）。唯一不受限制的可能是证书加密的文件系统。

在执行scp过程中， 会在远程端打开一个进程，任何人只需调用ps. 如果您设法隐藏进程列表中显示的命令行，则lsof（打开文件列表）可以显示哪些文件正在被触摸。这太简单了，我实际上这样做是为了观察我开始的某个复制过程有多远，如果我在我目前无法查看的终端上启动该过程（文件列表正在输出）。

之后的行为，快速扫描，find可以找到最新的文件（如果复制过程中未保存的时间戳）。如果通过ssh会话以任何方式访问或触摸文件，您将.bash_history显示您在做什么（但您可以根据需要删除它）。

如果安全性是非常严格的，您总是可以设置额外的监控：您可以使用一个简单的守护程序监听所有文件修改，并记录有关本地和远程文件系统事务的所有内容，这无关紧要。记录所有用户生成的进程也就不足为奇了。如果正在执行备份，则删除文件后文件可能仍存储在某处。