| 命令 | ausearch -m EXECVE |
|---|---|
| 辅助 | -i 解释、-ts 时间起点、-k 规则键 |
示例
示例
ausearch -i -m EXECVE -ts yesterday | head -60
ausearch -k exec -i -ts recent | grep -A2 'a0='同一条命令由多条记录组成，用相同的 audit ID 串起 SYSCALL 与 EXECVE。
ausearch 还原进程执行
ausearch -m EXECVE 检出命令执行记录，-i 会把十六进制参数转换成文本，配合 SYSCALL 记录可确定执行者与退出状态。
易错点
- 参数含特殊字符时以十六进制存储，未加 -i 会看到难读的十六进制串
- 丢事件或规则未启用时记录不全，结论要留边界
数据来源与参考
- auditd 官方手册（ausearch(8)）