Linux怎么查看具体的文件权限变更

auditd堪称是唯一能够精准查明chmod操作源头的有效方案。它能够敏锐地捕获内核级别的chmod、fchmodat等系统调用，并且还会附带诸如UID、进程名、命令行参数、时间戳、目标路径等一系列完整的上下文信息。

Linux本身不记录文件权限变更历史，ls -l 或 stat 只显示当前状态，不是操作日志。要查“谁在什么时候改了权限”，必须依赖审计系统，而不是靠猜测时间戳或翻系统日志。

auditd 是唯一能查清 chmod 操作源头的方案

只有 auditd 能捕获内核级 chmod、fchmodat 等系统调用，并附带完整上下文：UID、进程名、命令行参数、时间戳、目标路径。其他方法全有硬伤：

• grep "chmod" /var/log/secure：只可能捕获 sudo 日志，漏掉 root 直接执行、systemd service 里调用、脚本中嵌套调用
• find /path -cmin -60：只能说明 inode 元数据（含权限）被改过，但无法区分是 chmod、chown 还是 setfacl 导致，更不知道是谁干的
• inotifywait -e attrib：仅实时监听，不落盘，进程退出即丢失，且不记录用户和命令

快速配置 auditd 监控特定文件的权限变更

以监控 /etc/passwd 的权限修改为例：

• 加临时规则（立即生效，重启失效）：sudo auditctl -a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F path=/etc/passwd -k passwd_perm_change
• 写入永久规则：echo '-a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F path=/etc/passwd -k passwd_perm_change' | sudo tee /etc/audit/rules.d/passwd.rules
• 加载规则：sudo augenrules --load
• 确认已加载：sudo auditctl -l | grep passwd_perm_change

检索并识别真实的 chmod 记录

执行一次 chmod 600 /etc/passwd 后，用以下命令查事件：

• 查最近 24 小时匹配关键字的完整解码日志：sudo ausearch -k passwd_perm_change --start today -i
• 关键字段含义：comm="chmod" 是触发命令名，exe="/usr/bin/chmod" 是实际执行路径，uid=1001 是操作者 UID，auid=1001 是原始登录用户（防 sudo 伪装），name="/etc/passwd" 是目标路径
• 若看到 syscall=90（对应 chmod）且 success=yes，基本可确认为有效权限变更事件

auditd 未启用时的有限补救线索

如果审计没开，又怀疑权限被异常修改，可交叉比对以下信息缩小范围：

• 检查定时任务：sudo crontab -l 和 for u in $(cut -f1 -d: /etc/passwd); do sudo -u "$u" crontab -l 2>/dev/null; done
• 查 systemd service 中是否含 ExecStart=... chmod ...：grep -r "chmod" /etc/systemd/system/ /usr/lib/systemd/system/ 2>/dev/null
• 看最近修改过的脚本：find /usr/local/bin /opt -type f -name "*.sh" -cmin -1440 2>/dev/null | xargs -r grep -l "chmod" 2>/dev/null
• 注意：stat /path 显示的 Change 时间（ctime）是元数据最后变更时间，但它不区分是 chmod、chown 还是 touch 导致的 —— 单靠这个无法归因

真正能精准锁定chmod行为的，唯有auditd的系统调用捕获。其他所有替代方案都仅仅是间接线索，极易产生误判。一旦规则配置遗漏（例如没有覆盖fchmodat），那么在某些场景下的权限变更就可能完全无法被察觉。