Как я говорю, имеет ли система Linux hugemem?

Изменение оболочки очень тривиально для хитрости, исправление самой оболочки лучше, но необходимо исправить все оболочки. Наш любимый взломщик использует это, в качестве награды он не беспокоит себя отключением bash_history.

ssh host /bin/sh -i  

Излишне любопытный обертка вокруг исполнительных функций и регистрирует любой внешний двоичный файл, который выполняется (не, окружают builtins),

Предложение Schmitt @David sniffy использует лучший метод, оно касается псевдотерминала.

ttysnoop использует тот же метод, но он не сохраняется. (У меня, вероятно, были проблемы, заставляющие это регистрировать соединения SSH, не может rememeber),

Можно попытаться исправить ssh для входа сессии, но тот патч стар.

псевдопереходная приставка и rootsh могут использоваться для входа законного sudos. И shwatcr является другой вещью контролировать логины.