使用Linux审计系统跟踪web shell攻击

Question

我试图使用Linux审计系统来跟踪web shell攻击。 以下是我附加的规则。

-a exit,always -F arch=b64 -F gid=nginx -S execve

（使用nginx的）

通过此设置，我可以跟踪的命令不是 'PWD'，而是 'LS'， '猫'。

这些有什么不同？我怎样才能彻底追踪所有命令？

Answer 1

像pwd这样的东西是shell内置插件，并且不涉及创建另一个进程，因此没有调用execve。内置的命令支持取决于你使用的shell。这里是built-ins supported by bash。

我建议您运行shell的修改版本，或者如果您确实希望捕获所有活动，则可以跟踪其他内容（如网络流量）。没有关于为什么希望获取这些信息的更多细节，很难推荐一种方法。