Auditd 是 Linux 系统中的审计工具，用于监控和记录安全事件。主要配置文件位于 /etc/audit/auditd.conf，审计规则在 /etc/audit/audit.rules。常用工具包括 auditctl（管理规则）、aureport（生成报告）和 ausearch（搜索日志）。审计规则分为控制规则、文件系统规则和系统调用规则。定期监控和更新审计策略，以确保日志的安全性和完整性。

作者尝试复现CVE-2017-11176漏洞时遇到了centos 7.4上的问题，关闭auditd后成功复现漏洞。在ubuntu和debian系统中提权较容易，而在centos中较困难。作者分享了一些ROP链条，但由于开启了smap和kaslr无法在实际环境中利用。

Linux auditd是一个内核审计框架，可跟踪系统活动和记录安全事件。通过使用auditd，系统管理员可以监视用户和进程的操作，跟踪文件访问，审计网络活动等。auditd可帮助管理员监视系统安全性，并追踪和调查安全事件。

背景 难题：/home/chen/test/目录下的index.html为首页文件，一直被入侵者恶意篡改 需求：想要定位攻击方式以及篡改方式 命令：auditctl （安装：sudo apt install auditd） 参数： -w 监控文件路径 -p 监控文件筛选 r(读) w(写) x(执行) a(属性改变) -k 关键词（用于查询监控日志） 运行：sudo auditctl...