我有一个目录 /some/dir，我发现那里总是出现新文件。我如何找出哪个进程正在创建这些文件？
答案1
尝试一下lsof +r2 | grep '/some/dir'。这将显示进程正在访问/一些/目录每2秒刷新一次。
答案2
使用内核audit子系统
auditctl -w /some/dir/ -p war -k whatsgoingon
这样就设置了一个钩子来等待 /some/dir/ 下发生的某些事情。
然后确保守护auditd进程正在运行。之后只需等待文件出现，然后查看/var/log/auditd.log它从系统中写入的位置或读取的位置发生了什么以及由哪个进程执行。
答案3
lsof可以帮助：
# lsof -r1 /some/dir/*