检测系统里可执行文件被执行了

[n0bug]

举个栗子， 比如 linux 里面输入 ls 命令，系统先读取 ls 的 ELF 。
然后启动进程，完成 ls 的功能，退出进程。

我想在 ls 的 ELF 被读取的时候就检测到， 有什么办法吗？ 可以自己写一点代码、脚本什么的，但是请给个思路。

[zix]

如果是命令行执行的程序，应该都会有历史记录吧，像 bash 都是写在 .bash_history 里的，我觉得监控这个文件的写入就 OK 了。

[Comphuse]

man auditctl

[onlyxuyang]

改 libc 拦系统调用……

[n0bug]

@Comphuse 谢谢~ 居然还有这样的工具