如何記錄執行程式suid的命令

Question

我的問題：有沒有辦法記錄執行suid程式的所有命令？就像 .bash_history 所做的那樣，但僅限 setuid 程式。

Answer 1

如果您有特定的命令，您可以設定auditd為記錄execve該二進位檔案的所有使用：

auditctl -a exit,always -S execve -F path=/usr/bin/passwd

然後您可以使用 ausearch 來尋找這些呼叫：

ausearch -x /usr/bin/passwd