利用 Auditd 跟踪 sudo 命令执行与权限滥用排查

真正看清sudo执行全过程需捕获execve系统调用并结合auid过滤，通过-a always,exit -F arch=b64/b32 -S execve -F auid!=-1 -k sudo_cmd规则记录完整命令行、UID及登录上下文，再叠加-F uid!=auid精准识别提权行为，同时监控su、bash -p、euid≠uid及/etc/sudoers等敏感文件变更实现全路径审计。

要真正看清 sudo 命令执行全过程并发现权限滥用，不能只看 /var/log/secure 或 sudo 日志——那些只记录“谁执行了 sudo”，不记录“sudo 后真正干了什么”。auditd 的优势在于捕获内核级 execve 调用，能拿到完整命令行参数、执行者 UID、登录上下文（auid）等关键字段，这才是溯源越权行为的可靠依据。

捕获带参的 sudo 实际命令

sudo 本身只是个跳板，真正危险的是它后面执行的命令（如 sudo cat /etc/shadow）。只监控 /usr/bin/sudo 文件执行，会漏掉目标命令。必须捕获 execve 系统调用，并区分真实用户上下文：

• 在 /etc/audit/rules.d/sudo-exec.rules 中写入两条规则（兼顾 64 位与 32 位兼容）：
  -a always,exit -F arch=b64 -S execve -F auid!=-1 -k sudo_cmd
  -a always,exit -F arch=b32 -S execve -F auid!=-1 -k sudo_cmd
• -F auid!=-1 过滤掉 systemd、cron 等无登录用户的调用，确保只记录真实人工操作
• 若只想聚焦“提权后执行”，可加 -F uid!=auid，这样 sudo ls 会被记录，而普通用户直接运行的 ls 则被排除

覆盖绕过 sudo 的提权路径

攻击者常跳过 sudo，改用 su、bash -p、LD_PRELOAD 或 SUID 二进制提权——这些行为在 sudo 日志里完全空白，但 auditd 可捕获：

• 监控 su：-a always,exit -F path=/usr/bin/su -F perm=x -k sudo_bypass
• 拦截特权 shell：-a always,exit -F path=/bin/bash -F auid!=uid -F perm=x -k shell_escape
• 捕获所有 euid≠uid 的执行（即任意提权）：-a always,exit -F arch=b64 -S execve -F euid!=uid -k privilege_escalation
• 同时监控常见 SUID 工具：find、vim、nmap 等，规则同上，只需替换 -F path=

关联敏感文件操作锁定越权结果

一次成功的越权，往往伴随对关键文件的修改。单看命令执行不够，要和文件变更日志交叉验证：

• 监控身份核心文件：-w /etc/passwd -p wa -k identity_file；-w /etc/shadow -p wa -k identity_file
• 盯住权限配置：-w /etc/sudoers -p wa -k privilege_config；-w /etc/sudoers.d/ -p wa -k sudoers_d_change
• 检查非 root 用户对系统目录的写入：-w /etc -p w -F uid!=0 -k etc_write
• 每条规则都带 -k 标签，后续可用 ausearch -k identity_file 快速拉出全部相关事件

快速定位异常行为的实用技巧

日志有了，关键是怎么用。避免翻原始 audit.log，用结构化查询提升效率：

• 查某用户今天所有提权动作：ausearch -ui 1001 -k sudo_cmd --start today | aureport -f -i
• 找高危命令（含 /etc/shadow、/root）：ausearch -k sudo_cmd | grep -i "shadow|root|passwd"
• 对比登录与提权时间差：ausearch -m USER_LOGIN -ui 1001 --start yesterday | head -3，再查该用户首次 sudo 时间
• 导出为 CSV 供分析：ausearch -k sudo_cmd --raw | aureport -f -i --csv > sudo-activity.csv