在/ tmp上创建了名为“ file *”的随机空文件

3

我有两个RHEL 6.10服务器，其中/ tmp不断填充着数千个具有以下名称的文件

-rw-rw-r--. 1 root    root        0 Feb 22 17:30 fileoQ1gE0
-rw-rw-r--. 1 root    root        0 Feb 22 17:31 fileTFa0e7
-rw-rw-r--. 1 root    root        0 Feb 22 17:32 fileSxEdEa
-rw-rw-r--. 1 root    root        0 Feb 22 17:33 filegoLf6g
-rw-rw-r--. 1 root    root        0 Feb 22 17:34 filebj3CJv
-rw-rw-r--. 1 root    root        0 Feb 22 17:35 fileEVJerA
-rw-rw-r--. 1 root    root        0 Feb 22 17:36 file5X9G3G
-rw-rw-r--. 1 root    root        0 Feb 22 17:37 fileScyBJY
-rw-rw-r--. 1 root    root        0 Feb 22 17:38 filePCq3K0
-rw-rw-r--. 1 root    root        0 Feb 22 17:39 filePnBcVp
-rw-rw-r--. 1 root    root        0 Feb 22 17:40 fileTbupIR
-rw-rw-r--. 1 root    root        0 Feb 22 17:41 file4jmFGS
-rw-rw-r--. 1 root    root        0 Feb 22 17:42 fileBP8HL0
-rw-rw-r--. 1 root    root        0 Feb 22 17:43 fileb605If
-rw-rw-r--. 1 root    root        0 Feb 22 17:44 file8Rubgm
-rw-rw-r--. 1 root    root        0 Feb 22 17:45 file7UJEJr
-rw-rw-r--. 1 root    root        0 Feb 22 17:46 filethKoZv
-rw-rw-r--. 1 root    root        0 Feb 22 17:47 fileJEVJpL
-rw-rw-r--. 1 root    root        0 Feb 22 17:48 filebeLOuP
-rw-rw-r--. 1 root    root        0 Feb 22 17:49 fileN1VVJU
-rw-rw-r--. 1 root    root        0 Feb 22 17:50 fileHO9fll
-rw-rw-r--. 1 root    root        0 Feb 22 17:51 filejEj1Rq
-rw-rw-r--. 1 root    root        0 Feb 22 17:52 fileMPnCWJ

Root的crontab没有任何功能，有什么办法可以知道在这里创建文件的进程是什么？即使它们是0字节，也让我感到困扰，因为我只是不知道为什么创建它们。

— 罗德里戈
source

似乎每分钟都会创建一个。更加准确地了解时间可以提供一些指示，表明它是否可能是一项cron工作。您可以通过查看完整的时间戳记ls --full-time /tmp。我还想/var/log/cron了解一下是否每分钟都在运行cron作业。

— kasperd

6

启用auditd并编写一些规则，以监视此目录的写类型权限。

-w /tmp -p w -k tmp

如何监视对特定目录或文件的权限，所有权或任何其他更改

RHEL 6安全指南>第7章。系统审核

— 约翰·马霍瓦尔德
source

这帮助我查明了问题，ausearch返回了以下内容，但我无法理解为什么该过程创建了文件：

id=0 fsgid=0 tty=(none) ses=87305 comm="osspi_fwtmp" exe="/var/opt/OV/bin/instrumentation/osspi_fwtmp" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="tmp"

_

type=PATH msg=audit(1551283056.129:18464144): item=1 name="/tmp/fileHjArsp" inode=2735 dev=fd:04 mode=0100664 ouid=0 ogid=0 rdev=00:00 obj=unconfined_u:object_r:user_tmp_t:s0 nametype=CREATE

— Rodrigo

最简短的搜索表明这是OpenView。对于产品支持渠道，以及为什么在可用的源代码中进行挖掘，为什么它本身仍无法清除。mkstemp样式临时文件的常见用法是假脱机输出到其他地方，或检查temp目录是否可写。

— John Mahowald

0

也许快速lsof|grep /tmp/file吐出文件所属的PID？

— 弗雷迪
source

4

我想尝试一下不会有什么坏处。但是，您可能需要非常幸运地在文件仍打开的情况下抓住它。

— kasperd