在Linux中，要查看文件或对象的属性变更历史，可以使用auditd工具
安装auditd：
对于基于Debian的系统（如Ubuntu）：
sudo apt-get install auditd audispd-plugins
对于基于RHEL的系统（如CentOS、Fedora）：
sudo yum install audit
配置auditd以跟踪文件属性更改：
编辑/etc/audit/auditd.conf文件，取消以下行的注释（如果已经取消注释，请跳过此步骤）：
-w /path/to/your/file -p wa -k file_attribute_change
其中，将/path/to/your/file替换为要监视的文件路径。wa表示要监视的属性是写入（write）和属性（attribute）。file_attribute_change是一个自定义的关键字，用于在审计日志中过滤相关事件。
启动并激活auditd服务：
对于基于Debian的系统：
sudo systemctl start auditd
sudo systemctl enable auditd
对于基于RHEL的系统：
sudo systemctl start audit
sudo systemctl enable audit
更改文件属性并检查审计日志：
使用setattr命令更改文件属性，例如：
sudo chmod 644 /path/to/your/file
使用以下命令查看审计日志：
sudo ausearch -k file_attribute_change
这将显示与file_attribute_change关键字相关的事件，包括属性更改的时间、用户、文件路径等信息。
请注意，auditd可能会对系统性能产生影响，因此建议仅在需要时启用它。在完成属性更改跟踪后，可以禁用auditd以节省资源。
