Author einer Datei rausfinden?

[Token001]

Hallo Leute,

ich habe gerade ein dringendes Problem. Ist es möglich den Erzeuger einer Datei unter Linux rauszufinden?

Also nicht den Owner sonderen eben denjenigen der die Datei mal erzeugt hat :-)

mir hat`s nämlich gerade die Oracle Parameter zerschossen und ich weiß nicht wer der Bösewicht war.

Gruß und danke,

token

 

[DaveStar]

Hallo

Mir ist leider keine Möglichkeit bekannt, den Erzeuger einer Datei auszulesen (sofern dieser vom Besitzer verschieden ist und sofern dieser Dateityp den Erzeuger nicht von sich aus speichert) - das muss aber nicht zwingend heissen, dass es keine solche Möglichkeit gibt.

Trotzdem ein paar Rückfragen:
Meinst du wirklich den Erzeuger, oder derjenige, der die letzten Änderungen vorgenommen hat? Für deine Problemstellung scheint mir eher das zweite interessant.
Wieso gehst du davon aus, dass der Erzeuger/Änderer jemand anderes als der Besitzer ist? Normalerweise kann ja sowieso nur der Besitzer (und root) eine Datei ändern. Oder hat auf solch eine 'kritische' Datei etwa jeder Schreibzugriff?

 

[Token001]

Hallo und danke für die Antwort.

Es gibt mehrere "Administartoren" ja - und ich würde eben gerne einfach wissen wann diese Datei angelegt worden ist. Da ich der Meinung bin, dass sie nicht da war als ich angefangen habe zu arbeiten, jetzt ist sie aber da.

Da ein Kollege die Datei aber verschoben hat, steht da jetzt ein aktuelleres Datum...

Gruß und danke,
Token

 

[0x4A6F686E]

Es gibt mehrere "Administartoren" ja - und ich würde eben gerne einfach wissen wann diese Datei angelegt worden ist.

Da nur ctime, atime und mtime gespeichert werden, kannst du das wohl nicht mehr herausfinden, denn sobald die Inode-Informationen geändert werden, wird die ctime angepasst. atime und mtime sind zur Ermittlung dieser Info auch nicht geeignet.

Ich kenne keine Möglichkeit, die Zeit zu zuverlässig ermitteln, zu der eine bestimmte Datei angelegt wurde. In solchen Fällen hilft nur, die Konfigurationsdateien in einem CVS zu verwalten, so dass alle Änderungen nachvollziehbar bleiben. etckeeper hilft mir auf den Servern dabei.

Das hilft dir zwar in diesem Fall nicht, kann aber für die Zukunft nützlich sein.

 

[Token001]

Danke für die Antworten,

genau die selben Infos habe ich heute auch bekommen. Ein RedHat Kollege sitzt nämlich genau neben mir.

Noch eine Möglichkeit wäre die Dateien einfach per cp -p zu kopieren. Leider habe ich aber darauf keinen Einfluss. Es ist also auf diese Art nicht nachvollziehbar was passiert ist.

Schade - aber die ganze Aufregung ist eh umsonst gewesen.

Edit: das wußte ich aber gestern noch nicht, dass es sich in Wohlgefallen auflösen wird...