c++ - 如何使用libaudit？

我想了解如何与libaudit合作。
我想用C/C++来接收有关用户操作的事件。
我不知道如何设置规则，以及如何获取有关用户操作的信息。
例如，我想在用户创建目录时获取信息。

    int audit_fd = audit_open();

    struct audit_rule_data *rule = (struct audit_rule_data *) malloc(sizeof(struct audit_rule_data));
    memset(rule, 0, sizeof(struct audit_rule_data));

    audit_rule_syscallbyname_data(rule, "mkdir");
    audit_add_watch_dir(AUDIT_DIR, &rule, "/tmp");
    audit_add_rule_data(audit_fd,
                        rule,
                        AUDIT_FILTER_USER,
                        AUDIT_ALWAYS);

    int rc;
    fd_set read_mask;
    FD_ZERO(&read_mask);
    FD_SET(audit_fd, &read_mask);

    struct timeval t;
    t.tv_sec  = 0;
    t.tv_usec = 300 * 1000;

    do
    {
        rc = select(audit_fd+1, &read_mask, NULL, NULL, &t /*NULL*/);

        struct audit_reply *rep = NULL;
        audit_get_reply(audit_fd, rep, GET_REPLY_NONBLOCKING, 0);

        if (rep != NULL)
        {
            printf("%s", rep->message);
            break;
        }
    }
    while (rc < 0);


    audit_close(audit_fd);

这段代码不工作，没有得到libaudit的回复，怎么了？
实际上，我需要获得更多关于用户的信息：谁登录了，他在运行什么，他试图更改什么，等等。

最佳答案

我找到了解决办法。下面是最小工作代码的示例。
libaudit提供了添加/删除规则的接口：

int fd = audit_open();
struct audit_rule_data *rule = new audit_rule_data();

// what directory we will follow.
audit_add_watch_dir(AUDIT_DIR,
                    &rule,
                    "/etc");

// setting rule.
audit_add_rule_data(fd,
                    rule,
                    AUDIT_FILTER_EXIT,
                    AUDIT_ALWAYS);

// or removing rule.
audit_delete_rule_data(fd,
                       rule,
                       AUDIT_FILTER_EXIT,
                       AUDIT_ALWAYS);

audit_close(fd);

要设置某些特定事件并设置其他筛选器，您需要执行以下操作：

int fd = audit_open();

audit_rule_syscallbyname_data(rule_new, "open");
audit_rule_syscallbyname_data(rule_new, "close");

// Set extra filter, for example, follow the user with id=1000.
char pair[] = "uid=1000";
audit_rule_fieldpair_data(&rule_new, pair, AUDIT_FILTER_EXIT);

audit_add_rule_data(fd, rule_new, AUDIT_FILTER_EXIT, AUDIT_ALWAYS);

audit_close(fd);

要对您需要的规则进行例外处理，请执行以下操作：

audit_rule_syscallbyname_data(rule, "mkdir");
char pair[] = "path=/etc";
audit_rule_fieldpair_data(&rule,
                          pair,
                          AUDIT_FILTER_EXIT);
audit_add_rule_data(fd,
                    rule,
                    AUDIT_FILTER_EXIT,
                    AUDIT_NEVER);

要接收来自审核的消息：

void monitoring(struct ev_loop *loop, struct ev_io *io, int revents)
{
    struct audit_reply reply;

    audit_get_reply(fd, &reply, GET_REPLY_NONBLOCKING, 0);

    if (reply.type != AUDIT_EOE &&
        reply.type != AUDIT_PROCTITLE &&
        reply.type != AUDIT_PATH)
    {
        char *buf = new char[MAX_AUDIT_MESSAGE_LENGTH];

        snprintf(buf,
                 MAX_AUDIT_MESSAGE_LENGTH,
                 "Type=%s Message=%.*s",
                 audit_msg_type_to_name(reply.type),
                 reply.len,
                 reply.message);

        printf("EVENT: %s\n", buf);

    }
}

int main()
{
    struct ev_io monitor;
    fd = audit_open();

    audit_set_pid(fd, getpid(), WAIT_YES);

    loop = ev_default_loop(EVFLAG_NOENV);

    ev_io_init(&monitor, monitoring, fd, EV_READ);
    ev_io_start(loop, &monitor);

    ev_loop(loop, 0);

    audit_close(fd);
    return 0;
}

升级版。
如果您不写以下内容，您的审核将不起作用：

audit_set_enabled(audit_fd, 1);

关于c++ - 如何使用libaudit？，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/56252499/