Логирование действий скриптов

А что в вашем понимании есть "исходящий запрос"?

CURL? Ну, допустим, как-то можно руками допилить CURL и принудительно выставлять опцию CURLOPT_VERBOSE.

А если скрипт не использует CURL, а соединяется напрямую, через сокеты?

штатного такого функционала по моему нету и способов инициализировать соединение как уже заметили множество

у меня к примеру на хостинге мониторинг активности юзеров по средствам lsof, сразу видно кто куда ходил и с какой интенсивностью.

Mutabors, если задача именно следить, то скорее всего вам нужны патчи в ядро или как минимум патчи в PHP , но честно говоря подобного не встречал. Однако моя рабочая интуиция подсказывает мне, что ваша задача может преследовать иные цели, кто-то заливает на хостинг всякие "бяки" которые потом куда-то лезут и что-то делают? Надо не допускать этого и выявлять негодяев? Этому есть совокупность методик, начиная от блокировки ненужных портов, продолжая лимитом отправки почты в час, заканчивая написанием простейших враперов для логирования запуска сценариев... Однако как не крути, нужен будет анализ упомянутым выше lsof, и.т.п... Т.е говоря прямо, установить софтинку которая решит все проблемы не выйдет, как правило, каждая проблема чуть ли не индивидуальна.... и подходить надо к её решению комплексно, рано или поздно у вас соберется функционал который будет препятствовать доброй половине , а то и большему количеству вредителей :)

1. Речь не только о курл, подобных там не один десяток, да и с сокетами с другой стороны правильно подметили, хотя сокеты по идеи действительно можно запретить, т.к. простым смертным они не нужны.

2. То что стандартных средств нет, я знаю иначе не писал бы тут.

3. Про то, что надо следить, кто и что заливает на хостинг, вопрос больше философский, потому тут его лучше не касаться, а задача у меня стоит прежде всего концептуальная...

Что же давайте думать вместе, нет неразрешимых задач, есть ленивые люди...

На вскидку пока только вариант отдельно собирать выполнение скриптов в лог и отдельно с помощью например iptables исходящие запросы, далее это дело сопоставлять. Минусы в том, что единичные запросы так не отследишь, а только массовые.

А чем xdebug не устраивает?

Там этого логирования хватает с головой.

В старт посте указано, что используется apache-itk, значит скрипты запускаются от разных uid.

Для отлова пакетов только от нужных юзеров указываем опцию --uid-owner и интересующий диапазон uid.

Для того, чтобы в логах был uid используем --log-uid.

А зачем вам единичные ? Вы деньги зарабатываете или упражняетесь в блокировке ?

будьте практичнее : если есть претензии от сетевиков, значит объем трафика и число соединений достаточно большие. а значит вы просто сделаете netstat -np и одновременно загрузите /server-status. Потом спокойно найдете соединения и соответствующие им pid-ы. Повторить до совпадения моментов и получения результата.

А если заметного трафика и претензий - вам это не нужно. Отсутствие популярных решений означает что это никому не нужно.

если разбор "по горячему", то tcpdump-ом пытаемся найти аномалии. если нашли, то логируем нужные пакеты tcpdump-ом в файл, смотрим, разбираем, снова ищем.

тупо, банально, но за несколько итераций источник аномалии находится.

если мониторинг, то логируем и/или отсекаем "подозрительные" запросы к nginx/апачу

для мониторинга исходящего трафика можно попытаться прикрутить какую-то IDS/IPS например snort (очень давно ее использовал, так что ничего не могу сказать о ее работе сейчас), только все правила и фильтры нужно будет писать самому, а не использовать готовые, т.к. IDS-ы заточены под другие цели.

готовых решений нет.

угу, тоже ориентируюсь на обычно-суточный трафик.

1. иксдебаг тут не поможет! Во все клиентские скрипты свои вставки делать что ли?

2. Как отловить единично и по горячему вопрос не стоит, вопрос именно концептуальный. И правильно подмечено, он не для заработка, а прежде всего для повышения квалификации. Поэтому конечно поупрожняться в данном случае хочется.

3. Снорт и сурикана тут не помогут никак. Задача в том, что бы сопоставить выполняющийся пхп скрипт с исходящим запросом, который он генерирует..

О, да у нас тут Исследователь.

Ну попробуйте strace. Можно подключиться к любому процессу и всем его потомкам. Выводит очень много лишней информации, но ведь все на свете можно автоматизировать.