auditd是唯一能精准回溯文件属主及权限变更的方案，它通过捕获内核级chmod、chown等系统调用，记录uid、auid、comm、exe、name等完整上下文，而find、grep、inotifywait等方法均存在漏报、无用户信息或不持久等缺陷。
Linux 本身不记录权限变更历史，ls -l 或 stat 只显示当前状态；要查“谁在什么时候改了属主或权限”，必须用 auditd，其他方法全不可靠。
auditd 是唯一能查清权限变更的方案
Linux 内核不自动留存 chmod/chown 操作的元数据。像 find -cmin、grep /var/log/secure、inotifywait 这些手段，要么漏事件、要么无用户上下文、要么不持久——它们不是审计工具。
-
auditd在内核系统调用层捕获chmod、fchmodat、chown、fchownat等动作，附带uid、auid（原始登录用户）、comm（命令名）、exe（执行路径）、name（目标路径）等完整字段 - 日志默认写入
/var/log/audit/audit.log，由auditd守护进程管理，防篡改、可轮转 - 普通用户无法添加规则，必须用
root权限配置
怎么快速查某次 chmod 或 chown 的记录
前提是已配置对应审计规则。若没配，现在补也来得及；若已配，直接检索即可：
- 确认规则存在：
sudo auditctl -l | grep -E "(chmod|chown)" - 查最近 24 小时所有属主/权限变更：
sudo ausearch -m chmod, chown, fchmodat, fchownat --start today -i - 只查某个文件（如
/etc/passwd）：sudo ausearch -f /etc/passwd -m chmod,chown --start today -i - 按用户查：
sudo ausearch -ui 1001 -m chmod,chown -i（ui是有效 UID，auid才是原始登录者）
注意：-i 参数让输出可读（解析 UID/GID 为用户名、路径展开等），不加会看到一串数字。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
auditctl 临时规则 vs /etc/audit/rules.d/ 永久规则
临时规则重启就丢，永久规则需写入配置并重载：
- 加一条临时监控
/etc/shadow权限变更：sudo auditctl -a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F path=/etc/shadow -k shadow_perm_change - 永久生效：写入
/etc/audit/rules.d/shadow.rules，内容同上（去掉sudo auditctl前缀），再运行sudo augenrules --load - 规则中
-F arch=b64表示只监听 64 位系统调用，x86_64 系统必须加；32 位系统用b32，混架构环境建议两条都加 - 通配符不支持：
-w /etc/*.conf无效，只能-w /etc/（目录递归）或精确路径
没开 auditd 时怎么缩小排查范围
如果 auditd 未启用或规则遗漏，只能靠间接线索交叉验证：
- 查认证日志里是否有可疑
sudo chown：sudo grep -i "chown\|chmod" /var/log/auth.log /var/log/secure 2>/dev/null - 看 cron 是否有定时任务：
sudo crontab -l和for u in $(cut -f1 -d: /etc/passwd); do sudo crontab -u $u -l 2>/dev/null | grep -i chown; done - 检查 systemd service 文件是否含
ExecStart=chown：grep -r "chown\|chmod" /etc/systemd/system/ /usr/lib/systemd/system/ 2>/dev/null -
stat -c "%y %U:%G %a %n" /path能看当前 mtime + 属主 + 权限，但不能证明变更来源——仅作辅助参考
真正要锁定“谁在何时执行了哪条命令改了哪个文件的权限”，auditd 规则 + ausearch 是不可替代的组合；漏掉规则，等于没审计。
