Je voudrais avoir un fichier journal qui contient une entrée pour chaque fois qu'un utilisateur exécute un programme suid, contenant le nom d'utilisateur, le programme et tous les arguments de ligne de commande qui lui sont passés. Existe-t-il un moyen standard d'y parvenir sous Linux?
Vous pouvez consigner toutes les invocations d'un exécutable spécifique (setuid ou non) via le sous-système d'audit . La documentation est plutôt clairsemée; commencez par la page de manuel auditctl , ou peut - être ce tutoriel . Les distributions les plus récentes expédient un auditdpackage. Installez-le et assurez-vous que le auditddémon est en cours d'exécution, puis faites
auditctl -A exit,always -F path=/path/to/executable -S execve
et regardez les appels se connecter /var/log/audit/audit.log(ou partout où votre distribution l'a configuré).
-F path=…par-F euid=0 -F 'uid!=0'ou quelque chose comme ça. Je ne vois pas de hook dans le code setxid invoqué parexecveni une veille setxid spécifique dans le sous-système d'audit . Ou bien sûr, vous pouvez enregistrer chaqueexecvepost-traitement.auditd.findcommande pour lister tous les fichiers SUID:find / -xdev \( -perm -4000 \) -type f -print