Solution 1 :
Solution 1 :systemtap
Vous pouvez utiliser systemtap pour afficher tous les PID qui tentent d'utiliser unlink() sur l'inode de .bashrc et .bash_profile fichiers.
Installez systemtap et les symboles de débogage pour votre noyau.
Créez un fichier avec le nom unlink.stap avec le contenu suivant :
probe syscall.unlink
{
printf ("%s(%d) unlink (%s) userID(%d)\n", execname(), pid(), argstr, uid())
}
Ensuite, exécutez-le avec sudo stap unlink.stap
Solution 2 :notifier
Vous pouvez également utiliser inotify pour voir quand le fichier est supprimé.
Solution 3 :ftrace
Une autre solution consiste à utiliser ftrace :
trace-cmd record -e \*unlink\*
Attendez que le fichier soit supprimé, appuyez sur CTRL+C pour arrêter trace-cmd record ... , puis exécutez :
trace-cmd report
Solution 4 :bpftrace
Installer bpftrace , puis exécutez :
bpftrace -e 'tracepoint:syscalls:sys_enter_unlink* { printf("%s %s\n", comm, str(args->pathname)); }'
Solution 2 :
en plus de la réponse de micea, vous pouvez chatter +i les fichiers en tant que root et voir si quelque chose enregistre une erreur en essayant de les supprimer.
Solution 3 :
Êtes-vous absolument sûr que l'utilisateur lui-même ne les supprime pas (accidentellement) ?
J'ai eu des utilisateurs ignorants (Windows) avec le même problème. Il s'est avéré qu'ils supprimaient ces fichiers eux-mêmes chaque fois qu'ils visitaient leur répertoire personnel avec un client ftp. Ils ont remarqué les fichiers .xxxx (le client ftp ne les a pas cachés) et supprimé le "fouillis".
Il ne m'est jamais venu à l'esprit qu'ils se l'étaient fait jusqu'à ce que l'un d'eux se plaigne de la réapparition spontanée de fichiers qu'il avait supprimés plusieurs jours auparavant.
Solution 4 :
Nous utilisons des scripts de déconnexion bash (~/.bash_logout) pour nettoyer certains fichiers lors de la déconnexion - vous pouvez vérifier si vous avez cette configuration, peut-être avec un gros doigt dedans.
Solution 5 :
More ressemble à un intrus, qui fait un find /home/user -name filename -exec rm -f {} \; après tout son escroquerie :). Juste deviner, parce que vous avez mentionné que les fichiers de sauvegarde sont également supprimés.