3

我正在编写一个程序，它将监视选择的文件和目录的更改。有些文件是世界可写的，有些是所有者，有些是组。

我需要做的是能够找出最后一个修改（不仅仅是访问）文件的人。不知何故，我认为这很简单，因为我们知道文件的 inode .. 但是我似乎找不到任何方法来获得它。我认为有一种实用的方法可以将任何给定的 inode 与上次访问它的 uid 关联起来。

我想我已经挤压了谷歌，因为它会给我关于这个话题的所有信息。

任何帮助表示赞赏。我正在用 C 编写程序。

编辑：

在修改文件的任何程序的 PID 早已消失后，我需要能够做到这一点。

4

4 回答 4

5

如果您使用的是 2.6 内核，则可以利用内核的 auditd 守护程序。检查这个网址。它可能会给你一些关于如何完成你想要做的事情的提示。我确信你可以在 C 中使用一个 API。

于 2009-03-18T03:34:31.203 回答
2

据我所知，任何常见文件系统都不会存储此信息，但您应该能够连接到inotify并保留哪些进程接触哪些文件的审计跟踪。

于 2009-03-18T03:37:40.073 回答
2

好吧，直接使用带有普通文件系统的旧标准 Linux，您将无法做到这一点。该信息不会存储在任何地方（查看man lstat存储的内容。）

正如@pablo 建议的那样，您可以在打开安全审计的情况下执行此操作。他指出的链接是一个好的开始，但它的要点是：

  • 你打开审计守护进程，它可以从内核进行审计
  • 您配置规则文件以捕获您想要的内容
  • 您在审计文件中搜索您想要的事件。

这里的困难在于，如果您开始审核所有文件的所有文件操作，那么审核将会变得很大。

那么你想要满足的实际需求是什么？

于 2009-03-18T03:44:03.910 回答
-4

非常基本，但它有效：您可以轻松编写一个小 c 程序来执行您想要的操作 本示例检索文件或目录或链接的 UID，只需尝试找到您想要的属性。

编译：

gcc -x c my-prog.c -o my-prog

然后：

./my-prog /etc

可以像这样获得很多其他信息

它不坚固。但无论如何，我知道如何使用它，并在 bash shell 中进行检查:-)

[ -x /etc ] && my-prog /etc

源代码：

# retrieve the uid of a file
# source code: my-prog.c
#
#include <stdio.h> 
#include <sys/types.h>
#include <sys/stat.h>
int main(int argc, char **argv) {
  struct stat buffer;
  int status;
  char *fname;
  fname=argv[1];
  status = stat(fname, &buffer);
  printf("%i",buffer.st_uid);
  return 0;
}
于 2010-05-19T11:59:57.360 回答