Syscall BSD#356
svc · unix #356
setaudit
Mutateur 32 bits historique pour les informations d'audit du processus appelant.
Prototype
int setaudit(struct auditinfo *auditinfo);Retour: int
Arguments
| Name | Type | Dir | Description |
|---|---|---|---|
| auditinfo | struct auditinfo | - |
Historique des versions
| XNU tag | macOS | # |
|---|---|---|
| xnu-1456.1.26 | macOS 10.6 Snow Leopard | 356 |
| xnu-1699.24.8 | macOS 10.7 Lion | 356 |
| xnu-1486.2.11 | — | 356 |
| xnu-1504.15.3 | — | 356 |
| xnu-1504.3.12 | — | 356 |
| xnu-1504.7.4 | — | 356 |
| xnu-1504.9.17 | — | 356 |
| xnu-1504.9.26 | — | 356 |
| xnu-1504.9.37 | — | 356 |
| xnu-1699.22.73 | — | 356 |
| xnu-1699.22.81 | — | 356 |
| xnu-1699.24.23 | — | 356 |
| xnu-1699.26.8 | — | 356 |
| xnu-1699.32.7 | — | 356 |
Notes
Pendant de getaudit(2) ; écrit une struct auditinfo dans le thread appelant. Exige le privilège audit_control car modifier l'auid ou l'asid altère l'attribution de tous les enregistrements d'audit ultérieurs. Remplacé par setaudit_addr(2) ; conservé pour la compatibilité binaire avec les outils antérieurs à Leopard.
Détection
Émet AUE_SETAUDIT ; tout appel réussi réécrivant l'auid depuis un processus autre que login/sshd/sudo est un fort indicateur de manipulation.
API associées
setaudit_addrgetauditsetauidaudit_session_join