Apakah mungkin untuk mengetahui program atau skrip apa yang membuat file yang diberikan?

Tiga file tiba-tiba muncul di direktori home saya, yang disebut "client_state.xml", "lockfile", dan "time_stats_log". Dua yang terakhir kosong. Saya ingin tahu bagaimana mereka sampai di sana. Ini bukan pertama kalinya hal itu terjadi, tetapi yang terakhir adalah beberapa minggu yang lalu; Saya menghapus file dan tidak ada yang rusak atau mengeluh. Saya belum bisa memikirkan apa yang saya lakukan pada saat itu dilaporkan oleh stat $filename. Apakah ada cara saya bisa mengetahui dari mana mereka berasal?

Atau, apakah ada cara untuk memantau direktori home (tetapi tidak sub-direktori) untuk pembuatan file?

Saya tidak percaya ada cara untuk menentukan program mana yang membuat file.

Untuk pertanyaan alternatif Anda: Anda dapat menonton file yang akan dibuat kembali, menggunakan inotify. inotifywaitadalah antarmuka baris perintah untukinotify subsistem; Anda dapat memerintahkannya untuk mencari createacara di direktori home Anda:

$ (sleep 5; touch ~/making-a-test-file) &
[1] 22526

$ inotifywait -e create ~/
Setting up watches.
Watches established.
/home/mmrozek/ CREATE making-a-test-file

Anda mungkin ingin menjalankannya dengan -m(monitor), yang memberitahukannya untuk tidak keluar setelah melihat acara pertama

Anda dapat menonton semua yang terjadi pada sistem file dengan mengaksesnya melalui LoggedFS . Ini adalah sistem file bertumpuk yang mencatat setiap akses di pohon direktori.

loggedfs -l /var/tmp/$USER-home-fs.log ~

Log seluruh direktori rumah Anda mungkin memperlambat sistem Anda. Anda setidaknya ingin menulis file konfigurasi dengan filter yang ketat.

Jika Anda memiliki akses root, di Linux, Anda dapat menggunakan subsistem audit untuk mencatat banyak hal, termasuk akses filesystem. Pastikan auditddaemon dimulai, kemudian konfigurasikan dengan apa Anda ingin login auditctl. Setiap operasi yang dicatat dicatat dalam /var/log/audit/audit.log(pada distribusi tipikal). Untuk mulai menonton file tertentu:

auditctl -w /path/to/file

atau dalam bentuk panjang

auditctl -a exit,always -F path=/path/to/file

Jika Anda menaruh arloji di direktori (dengan -watau -F dir=), file di dalamnya dan subdirektori secara berulang juga ditonton.

Anda mungkin ingin melihatnya auditd, paket ini memungkinkan Anda untuk melakukan audit keamanan, dan mendapatkan banyak informasi tentang siapa yang mengubah apa yang ada di sistem file.

Saya tahu ini adalah pertanyaan lama, tetapi saya akan menyarankan pendekatan lain untuk berjaga-jaga seandainya seseorang menemukan itu berguna. Saya awalnya memposting ini sebagai jawaban untuk pertanyaan yang ditipu untuk yang satu ini.

Satu pilihan adalah menggunakan sysdig: aplikasi pemantauan sistem sumber terbuka. Dengan menggunakannya, Anda dapat memantau aktivitas pada file dengan nama. Misalkan Anda ingin melihat proses apa yang membuat file bernama /tmp/example.txt:

# sysdig fd.name=/tmp/example.txt
567335 16:18:39.654437223 0 touch (5470) < openat fd=3(<f>/tmp/example.txt) dirfd=-100(AT_FDCWD) name=/tmp/example.txt flags=70(O_NONBLOCK|O_CREAT|O_WRONLY) mode=0666
567336 16:18:39.654438248 0 touch (5470) > dup fd=3(<f>/tmp/example.txt)
567337 16:18:39.654438592 0 touch (5470) < dup res=0(<f>/tmp/example.txt)
567338 16:18:39.654439629 0 touch (5470) > close fd=3(<f>/tmp/example.txt)
567339 16:18:39.654439764 0 touch (5470) < close res=0
567342 16:18:39.654441958 0 touch (5470) > close fd=0(<f>/tmp/example.txt)
567343 16:18:39.654442111 0 touch (5470) < close res=0

Dari output itu, Anda dapat melihat proses yang dinamai touch dengan pid 5470 membuka file.

Jika Anda menginginkan informasi lebih lanjut, Anda dapat menjalankan dalam "mode pengambilan" tempat jejak panggilan sistem dikumpulkan:

# sysdig -w /tmp/dumpfile.scap

Kemudian tunggu file dibuat, lalu berhenti sysdigdan jalankan:

# csysdig -r /tmp/dumpfile.scap

Itu akan membiarkan Anda menjelajahi semua yang terjadi. Anda dapat menekan <F2>dan memilih Files, tekan <F4>untuk mencari nama file, lalu tekan<F6> untuk "menggali" (yang akan menunjukkan kepada Anda keluaran yang mirip dengan perintah di atas). Dengan itu, Anda kemudian dapat menggunakan pendekatan yang sama untuk menemukan informasi tentang proses yang sebenarnya membuat file.

Ada versi GUI yang csysdigdisebut sysdig-inspect, jika itu lebih dari secangkir teh Anda.

Anda belum dapat inotifysehingga Anda dapat menulis skrip yang memeriksa file dalam satu lingkaran:

#!/bin/sh

while [ true ]; do                     # Run for as long as nessesary
  if [ -f /path/to/file ]; then        # If fileexists
    echo "Found file"                  # Notify and stop monitoring
    exit 0
  fi
  sleep 5                             # Else wait 5 secs
done