Linux監査システムによるウェブシェル攻撃の追跡

Question

Linux監査システムを使用してWebシェル攻撃をトレースしようとしました。 以下は私が追加したルールです。この設定では（nginxのを使用して）

-a exit,always -F arch=b64 -F gid=nginx -S execve

、私は 'PWD' はコマンドをトレースすることができますが、 '1！' '猫。

これらの違いは何ですか？そして、どのように私はすべてのコマンドを完全にトレースできますか？

Answer 1

pwdのようなものはシェル組み込みであり、別のプロセスの作成を伴わないので、execveを呼び出す必要はありません。サポートされている組み込みコマンドは、使用しているシェルによって異なります。ここにはbuilt-ins supported by bashがあります。

本当にすべてのアクティビティをキャプチャする場合は、変更したバージョンのシェルを実行するか、ネットワークトラフィックなど何かをトレースすることをお勧めします。なぜこの情報をキャプチャしたいのかについての詳細がなければ、アプローチを推薦するのは難しいです。