คุณสามารถใช้การตรวจสอบเพื่อค้นหาสิ่งนี้ หากยังไม่พร้อมใช้งานให้ติดตั้งและเปิดใช้งานการตรวจสอบสำหรับ distro ของคุณ
ตั้งค่าการตรวจสอบการตรวจสอบใน / etc / hosts
/sbin/auditctl -w /etc/hosts -p war -k hosts-file
-w watch /etc/hosts
-p warx watch for write, attribute change, execute or read events
-k hosts-file is a search key.
รอจนกว่าไฟล์โฮสต์จะเปลี่ยนจากนั้นใช้ ausearch เพื่อตรวจสอบสิ่งที่บันทึกไว้
/sbin/ausearch -f /etc/hosts | more
คุณจะได้รับผลลัพธ์จำนวนมากเช่น
เวลา -> พุธ 12 ตุลาคม 09:34:07 ประเภท 2011 = เส้นทาง msg = การตรวจสอบ (1318408447.180: 870): รายการ = 0 ชื่อ = "/ etc / โฮสต์" inode = 2211062 dev = fd: 00 โหมด = 0100644 ouid = 0 ogid = 0 rdev = 00: 00 obj = system_u: object_r: etc_t: s0 ประเภท = CWD msg = การตรวจสอบ (1318408447.180: 870): cwd = "/ home / iain" ประเภท = SYSCALL msg = การตรวจสอบ (1318408447.180: 870) c000003e syscall = 2 สำเร็จ = ใช่ exit = 0 a0 = 7fff73641c4f a1 = 941 a2 = 1b6 a3 = 3e7075310c รายการ = 1 ppid = 7259 pid = 7294 aid id = 1001 uid = 0 gid = 0 eid egid = 0 sgid = 0 fsgid = 0 tty = pts0 ses = 123 comm = "touch" exe = "/ bin / touch" subj = user_u: system_r: unconfined_t: s0 key = "โฮสต์ไฟล์"
ในกรณีนี้ฉันใช้คำสั่ง touch เพื่อเปลี่ยนไฟล์ timstamp มัน pid คือ 7294 และ ppid คือ 7259 (เปลือกของฉัน)