auditctl comm 對比可執行程序

我正在查看 Linux 審計報告。這是來自 ausearch 的日誌。

time->Mon Nov 23 12:30:30 2015  
type=PROCTITLE msg=audit(1448281830.422:222556): proctitle=6D616E006175736561726368  
type=SYSCALL msg=audit(1448281830.422:222556): arch=c000003e syscall=56 success=yes exit=844 a0=1200011 a1=0 a2=0 a3=7f34afa999d0 items=0 ppid=830 pid=838 auid=1001 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=1 comm="nroff" exe="/usr/bin/bash" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=(null)  

據我了解，comm參數是使用者用來呼叫exe二進製文件的名稱。怎麼是nroff指/usr/bin/bash？請注意，這是一個普遍的問題，我已經看到這種我無法解釋的事情發生了很多次。在這種特殊情況下，這裡有更多關於我係統上的 nroff 和 bash 的數據。

[root@localhost ~]# which nroff  
/bin/nroff  
[root@localhost ~]# ll -i /bin/nroff  
656858 -rwxr-xr-x. 1 root root 3312 Jun 17 10:59 /bin/nroff  
[root@localhost ~]# ll -i /usr/bin/bash  
656465 -rwxr-xr-x. 1 root root 1071992 Aug 18 13:37 /usr/bin/bash  

提供的nroff“執行檔”groff是一個shell腳本，例如，

#! /bin/sh
# Emulate nroff with groff.
#
# Copyright (C) 1992, 1993, 1994, 1999, 2000, 2001, 2002, 2003,
#               2004, 2005, 2007, 2009
#   Free Software Foundation, Inc.
#
# Written by James Clark, maintained by Werner Lemberg.

# This file is of `groff'.

根據您使用的系統，/bin/sh可能是指向 的符號連結/usr/bin/bash，例如 Fedora，它連結/bin到/usr/bin.

引用自：https://unix.stackexchange.com/questions/245217