inotify vs fanotify

信安成长日记

已于 2023-02-07 21:25:26 修改

阅读量951

点赞数

CC 4.0 BY-SA版权

分类专栏：安全研发文章标签： linux

于 2022-11-16 16:21:30 首次发布

本文链接：https://blog.youkuaiyun.com/SHELLCODE_8BIT/article/details/127887699

安全研发专栏收录该内容

443 篇文章 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

Linux文件事件监控之Fanotify [一] - 知乎 (zhihu.com)

文件系统事件	Inotify	Fanotify
ACCESS	Y	Y
MODIFY	Y	Y
ATTRIB	Y
CLOSE_WRITE	Y	Y
CLOSE_NOWRITE	Y	Y
OPEN	Y	Y
MOVED_FROM	Y	Linux 5.1
MOVED_

了解本专栏

订阅专栏解锁全文

超级会员免费看

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

信安成长日记

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
打赏
打赏
打赏举报

举报

专栏目录

订阅专栏

fsnotify用例

SHELLCODE_8BIT的博客

02-01

171

jrelo/fs_monitoring: dnotify,inotify, and fanotify example code from http://www.lanedo.com/filesystem-monitoring-linux-kernel/ (github.com)

【安全】Linux Fanotify使用入门

追寻梦想的青春

06-19

3059

fanotify是另一种文件监控机制，在使用上两者类似，都是先调用init函数初始化句柄，然后调用类似watch的函数添加监控路径，再使用select+read的方式读取出变化的事件，根据事件中给出的参数获取文件的路径、事件类型以及其他需要的数据。如果是监控主机上的路径，directed结合FAN_EVENT_ON_CHILD标志就只能监控目录以及目录下的文件，per-mount可以监控pathname所在的挂载点中所有文件或者目录的变化，而global模式可以监控整个文件系统。

参与评论您还未登录，请先登录后发表或查看评论

fanotify:一个简单的fanotify示例，用于监视文件系统上的事件

05-08

Fanotify-监视文件系统事件系统的一个简单C示例要求linux。建造 make 跑步要监视根文件系统运行中的所有关闭事件： sudo ./fanotify CLOSE MOUNT /

linux fanotify和inotify

pynash123的博客

04-07

3009

工作中用到fanotify和inotify，记录下 Fanotify 有三个个基本的模式：directed，per-mount 和 global。其中，directed 模式和 inotify 类似，直接工作在被监控的对象的 inode 上，一次只可以监控一个对象。因此需要监控大量目标时也很麻烦。Global 模式则监控整个文件系统，任何变化都会通知 Listener。Per-mount 模式工作...

fanotify 监控文件系统

mmdev

04-14

1390

简介：Fanotify 是一个 notifier，即一种对文件系统变化产生通知的机制，是替代 inotify 的下一代文件系统通知机制。本文将探讨 fanotify 的特性和基本的使用，希望能为那些准备理解这个新的文件系统通知机制的读者提供一些参考。引子 Fanotify (fscking all notifiction and file access system) 是一个 notifie...

Linux系统应用 - Fanotify

最新发布

dxf1971738522的博客

03-04

832

基于Linux的Fanotify框架实现文件系统变动通知

linux fanotify

faxiang1230的专栏

01-19

1706

IT安全行业比较注重用户行为监控,在linux上如何做行为监控呢?首先监控可以分作两大类:本地行为和网络行为,大致是如何做的呢?在linux系统中分为用户空间和内核空间,又有进程来提供隔离,通常是不能实时监控到其他用户进程的行为的.不过linux通过/proc和/sys提供了很多有用的接口,工具通过这些接口提取信息使可读性更好,例如top,netstat等,其中有一些接口能够被用来进行monito...

用fanotify来实现Linux下的进程隐藏

pein66的博客

03-28

1500

Index1.原理2.目前比较常见的Linux进程隐藏方法1.1.注入preload挂钩readdir1.2.直接替换ls/ps等系统程序3.fanotify是什么？4.使用fanotify进行进程隐藏 1.原理在Linux下，一切皆文件。所有的进程信息，都存放在/proc/目录下，每一个pid一个目录。一般来说，遍历检查进程的方法，就是遍历检查/proc目录，检查所有名称是数字的子目录，检查其...

【安全】使用Fanotify拦截文件操作

追寻梦想的青春

06-21

1040

前文已经说过，Fanotify相比Inotify，比较大的优势是获取的数据多以及Fanotify的阻断能力。阻断能力，顾名思义，就是在用户操作文件时，如果判断出文件是有问题的，可以不让用户操作。

hook 监控文件 c++_Linux文件事件监控之Fanotify [一]

weixin_39605326的博客

11-22

577

从监听到监控Linux的文件事件监听的原理并不复杂，简单说就是当一个应用层的进程操作一个目录或文件时，会触发system call，此时内核的notification子系统可以守在那里，把该进程对文件的操作上报给应用层的监听进程（称为listerner）。在这个领域，自2001年的2.4版本就引入的dnotify可以说是先驱，然而，它的缺陷实在太多了。正如其名字传达的，只能监控directory，...

Linux fanotify 解析

pwl999的博客

06-16

7641

Linux fanotify 解析1. 基本介绍1.1 基本原理1.2 fanotify基本功能2. 用户态实现2.1 实例代码2.2 API介绍3. 内核实现3.1 配置fanotify3.1.1 fanotify_init()3.1.2 fanotify_mark()3.2 触发fanotify3.3 响应fanotify3.3.1 fanotify_read()3.3.2 fanotify_write()参考文档： 1. 基本介绍 Fanotify (Filesystem wide access no

fanotify监控文件使用案例及输出操作的进程名和PID

elimuzi的博客

08-19

1733

#define _GNU_SOURCE #include <errno.h> #include <fcntl.h> #include <limits.h> #include <stdio.h> #include <stdlib.h> #include <sys/types.h> #include <sys/fanotify.h> #include <sys/stat.h> #include <unistd.

LWN：分层存储管理，fanotify, FUSE 等等！

Linux News搬运工

07-25

2755

查linux有哪些task_Linux文件事件监控之Fanotify [二]

weixin_31887861的博客

12-27

301

Linux文件事件监控之Fanotify [一] 监控流程上文展示了从sys_open()到fsnotify()之间的call trace，接下来继续追踪在fsnotify()之后的代码路径：根据ftrace的打印结果，fanotify注册的"handle_event"函数指针会被调用，进而就是通过fanotify_alloc_event()，给要向listerner上报的内容分配内存，并根据和l...

fanotify实现原理源码分析

xsinlink的博客

11-06

736

fanotify主要使用。

epoll+fanotify实现监控目录以及子目录

changke的博客

01-17

1110

只说下坑点：调用fanotify_mark的时候，传文件的绝对路径，这时候使其忽略AT_FDCWD标志设置。一些功能描述在之前的博客中已经总结！源代码，欢迎Star或Fork ...

文件监控机制fanotify学习总结

changke的博客

01-16

2841

fanotify是Linux平台上新出现的一种文件监控技术，常被用作杀毒软件或者病毒程序恶意访问控制。之前有听过或使用过inotify的，都知道inotify是相比于fanotify更早的文件操作事件监控技术，fanotify是新出来的，实现的功能不比inotify多，但是他提供的对于监控文件的事件比较重要的功能权限检查和访问控制而inotify没有提供，所以这一点优势是其能存在的原因。 fani...

linux监控新文件,如何为Linux新的“fanotify”文件系统监控功能进行编程？

weixin_33181159的博客

04-30

417

This LWN article经常被引用作为fanotify的文档来源。但是描述似乎已经过时了。 fanotify不再工作使用套接字连接。相反，在sys / fanotify.h中声明了两个新的libc函数包装系统调用。一个叫做fanotify_init，另一个是fanotify_mark。在撰写本文时，这些系统调用仍然包含在list of missing manual pages中。但是，这些...