Finden Sie heraus, welcher Prozess eine Datei ändert

Sie können auditd verwenden und eine Regel hinzufügen, damit diese Datei überwacht wird:

auditctl -w /path/to/that/file -p wa

Achten Sie dann darauf, dass Einträge in /var/log/audit/audit.log geschrieben werden .

SystemTap kann dies tun, indem es das inodewatch-Skript .

verwendet

Falls die gesuchten Programme die Datei noch geöffnet haben, können Sie Folgendes verwenden:

 sudo lsof /path/to/file/being/modified

Sie könnten dies auch in einer kleinen Schleife aufrufen, indem Sie das folgende Skript verwenden getfileusers.sh :

 #!/bin/sh

 FILE=$1

 while true; do
    lsof "${FILE}"
 done > /tmp/fileusers.log

und nennen Sie es dann:

 sudo ./getfileusers.sh /path/to/file/being/modified

und prüfen Sie schließlich /tmp/fileusers.log um zu sehen, wer die Datei berührt hat...