<br><br><div class="gmail_quote">On Thu, Mar 3, 2011 at 8:44 PM, Steven Miano <span dir="ltr"><<a href="mailto:mianosm@gmail.com">mianosm@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin: 0pt 0pt 0pt 0.8ex; border-left: 1px solid rgb(204, 204, 204); padding-left: 1ex;">
Did they clear out their history?<div><br></div><div>/home/user/.bash_history would seemingly be a pretty good place to start. Also you could check out their username in /var/log, and see all instances of what they might have done....</div>


<div><br></div></blockquote><div>.bash_history will not  tell you what change was made exactly.<br>It will tell you which file was opened.But inside that file what was modified it wont tell you.<br>I am looking not only to track the exact change which might be in a location other than <br>
etc also if some kind of script  or .so file or some thing similar was added.<br>One way I understand is do an ls on / and store the result in a file and then after the changes have been done where some files are delete again do an ls on / (root) and compare the results to what files are added or deleted.<br>
<br></div></div>