如何追踪“chmod 640”修改了“/etc/passwd”文件的内容？

Question

在 AIX 6100-05-02-1034 上，某些东西经常将/etc/passwd文件的权限更改为 640。这很糟糕...

我怎么能追踪什么是 chmoding 文件？没有history 1000 | fgrep -i chmod，我认为一个进程正在修改文件，但哪个进程？dtrace可以这样做吗？它不在 AIX 上

Answer 1

Dtrace 会很好，但它没有移植到 AIX 上。

您应该能够通过审计跟踪修改文件的内容：http : //www.ibm.com/developerworks/aix/library/au-audit/