| 成功 | su[N]: pam_unix(su:session): session opened for user root by alice(uid=1000) |
|---|---|
| 失败 | FAILED su for root by alice |
检索
检索
grep -E 'su\[|FAILED su' /var/log/auth.log | tail -30成功后紧随其后的命令行为需要 auditd 或 shell 历史补全。
su 切换用户事件判读
su 的会话开启与失败记录在认证日志中，包含源用户、目标用户与 UID；非运维习惯的 su root 是提权链条中的关键节点。
易错点
- su 与 sudo 记录格式不同，检索模式要分别覆盖
- 通过 su -c 执行的单条命令不产生交互会话记录
数据来源与参考
- util-linux 手册（su(1)）
- Linux-PAM 文档（pam_unix）