Câu trả lời:
Bạn có thể đăng nhập tất cả các yêu cầu của một thực thi cụ thể (setuid hoặc không) thông qua hệ thống con kiểm toán . Các tài liệu khá thưa thớt; bắt đầu với trang man Audctl , hoặc có lẽ hướng dẫn này . Hầu hết các bản phân phối gần đây gửi một auditdgói. Cài đặt nó và đảm bảo auditddaemon đang chạy, sau đó làm
auditctl -A exit,always -F path=/path/to/executable -S execve
và xem các cuộc gọi được đăng nhập /var/log/audit/audit.log(hoặc bất cứ nơi nào phân phối của bạn đã thiết lập cuộc gọi này).
-F path=…bằng -F euid=0 -F 'uid!=0'hoặc một cái gì đó giống như nó. Tôi không thể thấy một cái móc trong mã setxid được gọi bởiexecve một đồng hồ setxid cụ thể trong hệ thống con kiểm toán . Hoặc, tất nhiên, bạn có thể đăng nhập mọi execvevà hậu xử lý.
auditd.