增加调用链来获取chown的调用方

# 重命名/usr/bin/chown二进制文件为real_chown
mv /usr/bin/chown /usr/bin/real_chown

# 编写脚本来调用real_chown
vim /usr/bin/chown
chown_log="/var/log/chown.log"
date >> $chown_log
echo "PPID is $PPID, chown $*" >> $chown_log
ps -ef | grep $PPID | grep -v grep >> $chown_log
real_chown $*

chmod 777 /usr/bin/chown

vim chown.sh
chown root1:root1 /root/sh

bash chown.sh

其中，第2列是PID，第3列是PPID。

# 还原
rm -f /usr/bin/chown /var/log/chown.log
mv /usr/bin/real_chown /usr/bin/chown
chown root:root /root/sh