记录每个 SUID 程序的每次调用？

Question

我想要一个日志文件，其中包含每次用户运行任何 suid 程序时的条目，其中包含用户名、程序和传递给它的任何命令行参数。有没有标准的方法可以在 Linux 上实现这一点？

Answer 1

您可以通过审计子系统记录特定可执行文件（setuid 与否）的所有调用。文档相当稀少；从auditctl 手册页或本教程开始。最近的发行版提供了一个auditd包。安装它并确保auditd守护进程正在运行，然后执行

auditctl -A exit,always -F path=/path/to/executable -S execve

并观察呼叫已登录/var/log/audit/audit.log（或您的发行版已设置的任何位置）。