一种有效地检测权限提升攻击的审计机制

在分析了权限提升攻击一般步骤的基础上,针对其会在系统中留下的攻击痕击,提出了一种新的审计机制,即在每次通过调用系统函数execve执行新的应用程序时,跟踪进程的realuserID、effectiveID以及savedsetuser-ID值的变化,从而可以准确地检测出各种针对特权程序的权限提升攻击。