如何在 Linux 上检测文件的 chmod 权限设置

Question

我有一些运行在我的系统上的应用程序，其中一些使用相同的配置文件。
其中一些应用程序在启动时更改文件的权限，如将其更改为664和644。
这些应用程序是每天从crontab中运行的。
我之所以会有这个问题，是因为对于某些配置文件，我突然获得了640的权限。
我想知道特定配置文件的历史记录，例如谁何时更改了它的权限。
谢谢

- Boris Raznikov

---

由于这与编程没有直接关系，您应该在[su]上询问。 - tversteeg

Answer 1

您需要审计权限文件的更改。

创建名为/var/www/html/1的文件。

编辑/etc/audit/audit.rules。添加以下行，然后重新启动auditd： -w /var/www/html/1 然后运行以下命令。 chmod 777 /var/www/html/1 /var/log/audit/audit.log向您显示一些内容：

type=SYSCALL msg=audit(1349582090.742:414): arch=c000003e syscall=268 success=yes exit=0 a0=ffffffffffffff9c a1=17be0f0 a2=1ff a3=4000 items=1 ppid=2859 pid=3069 auid=1001 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=2 comm="chmod" exe="/usr/bin/chmod" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=(null)
type=CWD msg=audit(1349582090.742:414):  cwd="/root"
type=PATH msg=audit(1349582090.742:414): item=0 name="/var/www/html/1" inode=6171184 dev=fd:00 mode=040755 ouid=0 ogid=0 rdev=00:00 obj=unconfined_u:object_r:httpd_sys_content_t:s0

该解决方案源自：https://serverfault.com/questions/434483/monitor-or-log-directory-permission-changes （该解决方案提供了一种监视或记录目录权限更改的方法。）

- FOP