☰

如何识别已将信息写入日志文件的程序？

tag-icon • tag-icon 12.04 sudo authentication log
如何识别已将信息写入日志文件的程序？

我最近收到一条消息，说我的 Ubuntu 笔记本电脑上的某些东西无法使用 sudo。当时，我不认为我正在运行任何需要 sudo 的东西。/var/log/auth.log 中出现的消息是：

Jul 16 11:50:56 laptop sudo: pam_unix(sudo:auth): conversation failed
Jul 16 11:50:56 laptop sudo: pam_unix(sudo:auth): auth could not identify password for [mv]
Jul 16 11:50:56 laptop sudo: pam_unix(sudo:auth): conversation failed
Jul 16 11:50:56 laptop sudo: pam_unix(sudo:auth): auth could not identify password for [mv]
Jul 16 11:50:56 laptop sudo: pam_unix(sudo:auth): conversation failed
Jul 16 11:50:56 laptop sudo: pam_unix(sudo:auth): auth could not identify password for [mv]
Jul 16 11:50:56 laptop sudo: mv : 3 incorrect password attempts ; TTY=unknown ; PWD=/home/mv ; USER=root ; COMMAND=/usr/bin/env -u LANGUAGE LC_MESSAGES=C /bin/sh /tmp/tmpBHXhYV/:script:

与登录的相似之处这个问题让我认为这是由更新管理器生成的。

有没有办法确认是 update-manager 还是其他程序导致此错误被记录到 /var/log/auth.log？或者，有人之前见过这个特定的日志行序列吗？

感谢您的帮助。

编辑：

  • /tmp/tmpBHXhYV/ 目录不再存在
  • 据我所知，在 update-manager 运行时，它会创建这些 /tmp/tmpXXXXXX/ 目录（其中的 X 是随机的）。为了稍微澄清一下我的问题，我想知道是否/如何直接引用 update-manager 代码中生成这种格式的行的内容。我查看了源代码对于我的更新管理器版本，但无法解决这个问题。

再次感谢！

答案1

好吧，您粘贴的数据都有一些有用的信息：COMMAND=/usr/bin/env -u LANGUAGE LC_MESSAGES=C /bin/sh /tmp/tmpBHXhYV/:script:

因此 env 被调用来使用 sh 执行 ~/tmp/tmpBHXhYV/:script:`。如果该文件仍在那里，它可能会对您有所帮助。它不是从 TTY 调用的，因此可能是从另一个正在运行的应用程序内部调用的。

相关内容