Bootstrap

linux监听系统文件(一)——命令篇

        在Linux系统中,查看启动进程的顺序和监听某一个文件被读取或调用通常需要使用不同的工具和方法。以下是一些常用的方法和工具:

查看启动进程顺序

1. systemd:
   大多数现代Linux发行版使用systemd作为初始化系统(init system)。你可以使用以下命令查看启动进程的顺序:

 systemd-analyze blame

   这个命令会列出所有启动的服务和它们的启动时间,从启动最快的到最慢的。

   systemd-analyze critical-chain

   这个命令会显示启动过程中关键服务的依赖链。

2. SysVinit:
   如果你使用的是较老的Linux发行版,可能还在使用SysVinit。你可以查看/etc/rc.d/或/etc/init.d/目录下的启动脚本以及它们的运行级别。

 ls -l /etc/rc.d/rc*.d/

监听文件被读取或调用

        要监听某个文件被读取或调用,可以使用以下工具:

        1. inotify:
           inotify是一个Linux内核子系统,可以监控文件系统事件。你可以使用inotifywait命令(来自inotify-tools包)来监控文件事件。 

   安装inotify-tools:

   sudo apt-get install inotify-tools  # For Debian/Ubuntu
   sudo yum install inotify-tools      # For CentOS/RHEL


   使用inotifywait监控文件读取:
   inotifywait -m -e open /path/to/your/file

   该命令会在文件被打开时输出事件信息。

        2. auditd:
           auditd(Audit Daemon)是一个高级工具,可以监控和记录系统调用事件,包括文件的访问。

  1.  安装auditd:
   sudo apt-get install auditd  # For Debian/Ubuntu
   sudo yum install audit       # For CentOS/RHEL

  2.  配置audit规则:
   sudo auditctl -w /path/to/your/file -p war -k myauditkey

   这条命令会监控文件的写(write)、属性更改(attribute change)和读取(read)操作。

 3.   查看审计日志:
   sudo ausearch -k myauditkey

        3. strace:
           strace是一个用于诊断、调试和监视Linux程序的系统调用和信号的工具。你可以使用strace来跟踪某个进程对文件的访问。

   使用strace监控文件访问:

strace -e trace=open,openat,read,write -p <pid>

   这条命令会跟踪指定进程ID(PID)对文件的打开、读取和写入操作。

        4. lsof:
          lsof(list open files)可以列出系统中所有打开的文件,包括被哪个进程打开。

           使用lsof查看某个文件被哪个进程打开:

 lsof /path/to/your/file

### 实例:监控某个文件的访问

假设你要监控文件/tmp/testfile的访问,可以使用inotifywait:
inotifywait -m -e open /tmp/testfile

或者使用auditd:
sudo auditctl -w /tmp/testfile -p war -k testfile_access
sudo ausearch -k testfile_access

        通过这些工具和命令,你可以查看启动进程的顺序,并监控某个文件被谁读取或调用。

Linux监听系统文件(二)——auditd-CSDN博客

Linux监听系统文件(三)——重启后自动监听-CSDN博客

Linux监听系统文件(四)——日志输出-CSDN博客

;