Dowiedz się, który proces zmienia plik

Próbuję znaleźć niezawodny sposób znalezienia, który proces na moim komputerze zmienia plik konfiguracyjny ( /etc/hostsa konkretnie).

Wiem, że mogę użyć, lsof /etc/hostsaby dowiedzieć się, jakie procesy aktualnie otwierają plik, ale to nie pomaga, ponieważ proces oczywiście otwiera plik, zapisuje do niego, a następnie zamyka go ponownie.

Patrzyłem również na lsofopcję powtarzania (-r), ale wydaje się, że idzie ona tak szybko, jak raz na sekundę, co prawdopodobnie nigdy nie uchwyci trwającego zapisu.

Znam kilka narzędzi do monitorowania zmian w systemie plików, ale w tym przypadku chcę wiedzieć, który proces jest odpowiedzialny, co oznacza złapanie go w akcie.

Aby to znaleźć, możesz użyć inspekcji. Jeśli nie jest jeszcze dostępny, zainstaluj i włącz inspekcję swojej dystrybucji.

ustaw obserwację audytu na / etc / hosts

/sbin/auditctl -w /etc/hosts -p war -k hosts-file

-w watch /etc/hosts
-p warx watch for write, attribute change, execute or read events
-k hosts-file is a search key.

Poczekaj na zmianę pliku hosts, a następnie użyj ausearch, aby zobaczyć, co jest zalogowane

/sbin/ausearch -f /etc/hosts | more

Dostaniesz masę wyników, np

time-> Wed Oct 12 09:34:07 2011 type = PATH msg = audit (1318408447.180: 870): item = 0 name = "/ etc / hosts" i-węzeł = 2211062 dev = fd: 00 mode = 0100644 ouid = 0 ogid = 0 rdev = 00: 00 obj = system_u: object_r: etc_t: s0 type = CWD msg = audit (1318408447.180: 870): cwd = "/ home / iain" type = SYSCALL msg = audit (1318408447.180: 870): arch = c000003e syscall = 2 sukces = tak wyjście = 0 a0 = 7fff73641c4f a1 = 941 a2 = 1b6 a3 = 3e7075310c pozycje = 1 ppid = 7259 pid = 7294 au id = 1001 uid = 0 gid = 0 euid = 0 suid = 0 fsuid = 0 egid = 0 sgid = 0 fsgid = 0 tty = pts0 ses = 123 comm = "touch" exe = "/ bin / touch" subj = user_u: system_r: unconfined_t: s0 key = "hosts-file"

W tym przypadku użyłem polecenia touch do zmiany sygnatury czasowej plików, jego pid to 7294, a ppid to 7259 (moja powłoka).

Możesz także użyć narzędzi inotify:

  inotifywait -mq -e open -e modify /etc/hosts

Po wielu poszukiwaniach znalazłem rozwiązanie, wystarczy użyć tego polecenia: sudo fs_usage | grep [path_to_file]

prawdopodobnie lepiej wtedy użyć czegoś takiego jak incron

http://inotify.aiken.cz/?section=incron&page=about&lang=en

możesz go następnie uruchomić w celu wywołania skryptu w celu uzyskania pewnego rodzaju diag