[motorniczy]

czy ktoś wie jaką komendą w linuxie sprawdzić jaki proces używa danego pliku i co z nim robi?

[deekox]

@motorniczy: lsof - list open files czy cus w tym stylu. Otwawrte pliki powinny też być gdzieś w /proc/PID/

[motorniczy]

@deekox: dzięki, ale chodzi mi o coś innego, chcę sprawdzić jakie procesy korzystają np z /dev/null i co w danej chwili z nim robią

[deekox]

@motorniczy: lsof | grep /dev/null

[motorniczy]

@deekox: no nie to nie zadziała :) chcę monitorować dostęp procesów do danego pliku, chyba pozostaje mi tylko auditd

[deekox]

@motorniczy: jak coś czaisz z c to popatrz na

int inotifyinit()

int inotifyaddwatch()

int inotifyrm_watch()

i ogólnie

man 7 inotify

[motorniczy]

@deekox: o o właśnie coś takiego, tylko że inotify nie daje informacji o procesach które doczepiają się do pliku :(

[deekox]

@motorniczy: tj masz jakiś konkretny plik i chcesz mieć informację kto otworzył/czytał/zapisywał/zamknął plik w momencie tego zdarzenia?

[motorniczy]

@deekox: dokładnie, kiedyś wydawało mi się ze na wykopie ktoś wspomniał przy okazji śledztwa co to za plik/trojan się komuś winstalował, za cholerę tego nie mogę odnaleźć

[deekox]

@motorniczy: z tego co wyrzucił strace lsof, to lsof jedzie po wszystkich procesach w /proc tj /proc/PID/ i stara się odczytać linki w katalogu /proc/PID/fd, które symbolizują otwarte deskryptory danego procesu. Więc informacja o tym, jakie procesy otworzyły dany plik nie jest bezpośrednio dostępna (trzeba przejechać przez /proc). Musiałbyś popełnić taki program co najpierw czai się na plik przez to inotify a potem leci po /proc i szuka sprawców.