題 如何在Linux中記錄所有進程啟動?


我想獲得所有進程的日誌,這些進程隨著它們的啟動時間以及它們啟動的參數而啟動。這在Linux中可行嗎?


50
2017-12-16 23:42


起源




答案:


你的出發點應該被審核。

嘗試這樣的事情:

apt-get install auditd
auditctl -a task,always
ausearch -i -sc execve

40
2017-12-17 00:19



我收到了錯誤 The audit system is disabled 我在哪裡可以啟用它? - Tombart
一個問題可以解決 chmod 0750 /sbin/audispd 但它仍然無法正常工作(Debian Wheezy) - Tombart
是說 Unable to set audit pid, exiting 但我想真正的問題是系統在LXC容器中運行 - Tombart
審計如何與systemd journald集成?他們的功能是否重疊? - CMCDragonkai


我需要這樣做,除了(1)我不需要時間和(2)我只對由給定進程啟動的進程及其子進程和後續進程感興趣。而且,在我使用的環境中,無法獲得 auditd 要么 accton,但有 valgrind

在命令行上將以下內容添加到感興趣的過程中:

valgrind --trace-children=yes

您需要的信息將顯示在STDERR上顯示的日誌輸出中。


7
2017-10-26 01:23



默認情況下,valgrind運行 memcheck 工具。要禁用該工具及其相關的日誌記錄,並僅打印新命令的創建(除了程序的常規輸出),請使用以下命令: valgrind --tool=none --trace-children=yes [command and args here] 。每當生成子進程時,Valgrind將記錄完整命令,包括傳遞給它的參數。 - Rob W


你可以用 史努比 為了這。

安裝起來非常簡單,因為2.x它可以記錄任意數據(參數,環境變量,cwd等)。

披露:史努比維護者在這裡。


5
2017-11-05 23:52





您可以運行startmon並在完成後按照標準輸出Ctrl-C運行。以下是如何在最近的Red Hat派生髮行版(RHEL,Fedora,CentOS)上編譯和運行startmon:

sudo yum install git cmake gcc-c++
git clone https://github.com/pturmel/startmon
cd startmon
cmake .
make
sudo ./startmon -e

在Debian(和Ubuntu等)上,上面的第一行更改為:

sudo apt-get install git cmake g++

或者你可以試試 execsnoop perf-tools中的腳本,請參閱 這個答案。默認情況下,只顯示前8個參數(9個包括程序名稱);你可以增加這個

sudo ./execsnoop -a 16

如果您沒有對系統的root訪問權限,那麼您可以做的最好就是繼續進行輪詢 /proc 並希望它捕獲所有東西(它不會捕獲),但為了完整性,這裡有一個腳本(我已經將重複刪除以簡化輸出) - 儘管這不如正確跟踪它們一樣好在上述方法中,它確實具有在命令行參數之間明確顯示分隔符的輕微優勢,以防您需要區分空格之間的區別  爭論和空間 之間 參數。這個腳本效率很低,因為它在100%的時間內使用CPU(其中一個核心)。

function pstail () { python -c 'import os
last=set(os.listdir("/proc")) ; o=x=""
while True:
 pids=set(os.listdir("/proc"))
 new=pids.difference(last);last=pids
 for n in new:
  try: o,x=x,[j for j in open("/proc/"+n+"/cmdline")
    .read().split(chr(0)) if j]
  except IOError: pass
  if x and not o==x: print n,x' ; }

pstail

你也可以打補丁 execsnoop 更明確地告訴你哪個參數是哪個: grep -v sub.*arg < execsnoop > n && chmod +x n && mv n execsnoop


2
2018-02-22 10:40





你也可以使用 在頂上 用於查看進程的資源使用情況。這是用於記錄和分析每個時間段的資源使用情況的有用工具


0
2017-07-21 08:18





CONFIG_FTRACE 和 CONFIG_KPROBES 通過 brendangregg/perf-tools

git clone https://github.com/brendangregg/perf-tools.git
cd perf-tools
git checkout 98d42a2a1493d2d1c651a5c396e015d4f082eb20
sudo ./execsnoop

在另一個shell上:

while true; do sleep 1; date; done

第一個shell顯示格式的數據:

Tracing exec()s. Ctrl-C to end.                                                        
Instrumenting sys_execve                                                               
   PID   PPID ARGS 
 20109   4336 date                                                                                       
 20110   4336 sleep 1                                                                                    
 20111   4336 date                                                                                                                                                                                                 
 20112   4336 sleep 1                                                                                    
 20113   4336 date                                                                                       
 20114   4336 sleep 1                                                                                    
 20115   4336 date                                                                                       
 20116   4336 sleep 1

CONFIG_PROC_EVENTS

示例會話:

$ su
# ./proc_events &
# /proc_events.out &
set mcast listen ok
# sleep 2 & sleep 1 &
fork: parent tid=48 pid=48 -> child tid=56 pid=56
fork: parent tid=48 pid=48 -> child tid=57 pid=57
exec: tid=57 pid=57
exec: tid=56 pid=56
exit: tid=57 pid=57 exit_code=0
exit: tid=56 pid=56 exit_code=0

CONFIG_PROC_EVENTS 通過a將事件公開給userland netlink socket

proc_events.c改編自: https://bewareofgeek.livejournal.com/2945.html

#define _XOPEN_SOURCE 700
#include <sys/socket.h>
#include <linux/netlink.h>
#include <linux/connector.h>
#include <linux/cn_proc.h>
#include <signal.h>
#include <errno.h>
#include <stdbool.h>
#include <unistd.h>
#include <string.h>
#include <stdlib.h>
#include <stdio.h>

static volatile bool need_exit = false;

static int nl_connect()
{
    int rc;
    int nl_sock;
    struct sockaddr_nl sa_nl;

    nl_sock = socket(PF_NETLINK, SOCK_DGRAM, NETLINK_CONNECTOR);
    if (nl_sock == -1) {
        perror("socket");
        return -1;
    }
    sa_nl.nl_family = AF_NETLINK;
    sa_nl.nl_groups = CN_IDX_PROC;
    sa_nl.nl_pid = getpid();
    rc = bind(nl_sock, (struct sockaddr *)&sa_nl, sizeof(sa_nl));
    if (rc == -1) {
        perror("bind");
        close(nl_sock);
        return -1;
    }
    return nl_sock;
}

static int set_proc_ev_listen(int nl_sock, bool enable)
{
    int rc;
    struct __attribute__ ((aligned(NLMSG_ALIGNTO))) {
        struct nlmsghdr nl_hdr;
        struct __attribute__ ((__packed__)) {
            struct cn_msg cn_msg;
            enum proc_cn_mcast_op cn_mcast;
        };
    } nlcn_msg;

    memset(&nlcn_msg, 0, sizeof(nlcn_msg));
    nlcn_msg.nl_hdr.nlmsg_len = sizeof(nlcn_msg);
    nlcn_msg.nl_hdr.nlmsg_pid = getpid();
    nlcn_msg.nl_hdr.nlmsg_type = NLMSG_DONE;

    nlcn_msg.cn_msg.id.idx = CN_IDX_PROC;
    nlcn_msg.cn_msg.id.val = CN_VAL_PROC;
    nlcn_msg.cn_msg.len = sizeof(enum proc_cn_mcast_op);

    nlcn_msg.cn_mcast = enable ? PROC_CN_MCAST_LISTEN : PROC_CN_MCAST_IGNORE;

    rc = send(nl_sock, &nlcn_msg, sizeof(nlcn_msg), 0);
    if (rc == -1) {
        perror("netlink send");
        return -1;
    }

    return 0;
}

static int handle_proc_ev(int nl_sock)
{
    int rc;
    struct __attribute__ ((aligned(NLMSG_ALIGNTO))) {
        struct nlmsghdr nl_hdr;
        struct __attribute__ ((__packed__)) {
            struct cn_msg cn_msg;
            struct proc_event proc_ev;
        };
    } nlcn_msg;
    while (!need_exit) {
        rc = recv(nl_sock, &nlcn_msg, sizeof(nlcn_msg), 0);
        if (rc == 0) {
            /* shutdown? */
            return 0;
        } else if (rc == -1) {
            if (errno == EINTR) continue;
            perror("netlink recv");
            return -1;
        }
        switch (nlcn_msg.proc_ev.what) {
            case PROC_EVENT_NONE:
                printf("set mcast listen ok\n");
                break;
            case PROC_EVENT_FORK:
                printf("fork: parent tid=%d pid=%d -> child tid=%d pid=%d\n",
                        nlcn_msg.proc_ev.event_data.fork.parent_pid,
                        nlcn_msg.proc_ev.event_data.fork.parent_tgid,
                        nlcn_msg.proc_ev.event_data.fork.child_pid,
                        nlcn_msg.proc_ev.event_data.fork.child_tgid);
                break;
            case PROC_EVENT_EXEC:
                printf("exec: tid=%d pid=%d\n",
                        nlcn_msg.proc_ev.event_data.exec.process_pid,
                        nlcn_msg.proc_ev.event_data.exec.process_tgid);
                break;
            case PROC_EVENT_UID:
                printf("uid change: tid=%d pid=%d from %d to %d\n",
                        nlcn_msg.proc_ev.event_data.id.process_pid,
                        nlcn_msg.proc_ev.event_data.id.process_tgid,
                        nlcn_msg.proc_ev.event_data.id.r.ruid,
                        nlcn_msg.proc_ev.event_data.id.e.euid);
                break;
            case PROC_EVENT_GID:
                printf("gid change: tid=%d pid=%d from %d to %d\n",
                        nlcn_msg.proc_ev.event_data.id.process_pid,
                        nlcn_msg.proc_ev.event_data.id.process_tgid,
                        nlcn_msg.proc_ev.event_data.id.r.rgid,
                        nlcn_msg.proc_ev.event_data.id.e.egid);
                break;
            case PROC_EVENT_EXIT:
                printf("exit: tid=%d pid=%d exit_code=%d\n",
                        nlcn_msg.proc_ev.event_data.exit.process_pid,
                        nlcn_msg.proc_ev.event_data.exit.process_tgid,
                        nlcn_msg.proc_ev.event_data.exit.exit_code);
                break;
            default:
                printf("unhandled proc event\n");
                break;
        }
    }

    return 0;
}

static void on_sigint(__attribute__ ((unused)) int unused)
{
    need_exit = true;
}

int main()
{
    int nl_sock;
    int rc = EXIT_SUCCESS;

    signal(SIGINT, &on_sigint);
    siginterrupt(SIGINT, true);
    nl_sock = nl_connect();
    if (nl_sock == -1)
        exit(EXIT_FAILURE);
    rc = set_proc_ev_listen(nl_sock, true);
    if (rc == -1) {
        rc = EXIT_FAILURE;
        goto out;
    }
    rc = handle_proc_ev(nl_sock);
    if (rc == -1) {
        rc = EXIT_FAILURE;
        goto out;
    }
    set_proc_ev_listen(nl_sock, false);
out:
    close(nl_sock);
    exit(rc);
}

GitHub upatream

但是我不認為您可以獲得流程數據,例如UID和流程參數,因為 exec_proc_event 包含如此少的數據: https://github.com/torvalds/linux/blob/v4.16/include/uapi/linux/cn_proc.h#L80 我們可以嘗試立即閱讀它 /proc,但是有一個風險是這個過程結束了,另一個人拿了它的PID,所以它不可靠。

在Ubuntu 17.10中測試過。


0
2018-05-06 08:36





你可以試試 cat ~/.bash_historysystem log viewer,這可以幫到你。


-3
2018-05-31 18:34



~/.bash_history 顯然只包含我在終端中執行的命令。我正在尋找所有已執行程序的日誌,例如當我單擊圖標打開我的電子郵件客戶端,gedit或打開瀏覽器時,我的瀏覽器會自行執行另一個進程。 new123456的答案奏效了。 - runeks
我們還要添加該命令 history 是訪問此信息的常用方法。 - bryn