ubuntu软链接指向的文件被修改如何追踪

在Ubuntu中，如果你发现一个软链接（也称为符号链接）指向的文件被修改了，你可以通过以下步骤来追踪这个变化：

1. 查看软链接的原始文件： 使用ls -l命令可以查看软链接的详细信息，包括它指向的原始文件。例如：

ls -l my_symlink

这将显示类似以下的输出：

lrwxrwxrwx 1 user group 12 Jan 1 00:00 my_symlink -> target_file

这里，my_symlink是软链接，而target_file是它指向的原始文件。

2. 检查原始文件的修改时间： 使用ls -lt命令可以查看文件的详细信息，包括修改时间。例如：

ls -lt target_file

这将显示文件的详细信息，按修改时间从新到旧排序。找到你关心的文件，并记下它的修改时间。

3. 查找修改日志： 如果你想知道谁修改了原始文件，或者何时修改的，你可以查看系统的修改日志。对于大多数Linux系统，可以使用auditd工具来追踪文件修改。首先，确保auditd已经安装并正在运行：

sudo apt-get install auditd  # 安装auditd（如果尚未安装）
sudo systemctl start auditd  # 启动auditd服务
sudo systemctl enable auditd  # 设置auditd服务开机自启

然后，配置auditd以追踪文件修改。你可以创建一个自定义规则文件（例如/etc/audit/rules.d/custom.rules），并添加以下内容：

-w /path/to/target_file -p wa -k file_modified  # 追踪目标文件的写权限和属性更改

将/path/to/target_file替换为实际文件路径。然后，重新启动auditd服务以应用新规则：

sudo systemctl restart auditd

现在，每当target_file被修改时，auditd都会记录一条日志条目。你可以使用ausearch命令查看这些日志条目：

ausearch -k file_modified

这将显示所有与file_modified键相关的日志条目。每条条目都会包含有关修改时间、用户、进程ID等信息。