我如何findPHP脚本正在更改文件

我已经用mod_php PHP5安装了apache 。

我已经能够发现，Apache进程正在改变我的.htaccess和index.php文件在/var/www目录。 此目录中的所有文件都由www-data:www-data拥有ug=rwX,o=rX并拥有ug=rwX,o=rX权限。

很明显，一些恶意软件的PHP脚本正在这样做。 我如何find它？

以下是auditd的输出：

• 如何解决有关WebAdministrationProvider的安全警告？
• CIS基准testing：如何定义GPO中的BUILTIN \ Administrator帐户？
• 防止用户交互式login到域计算机
• 最安全的方式来encryption关键数据共享，编辑和看到（必须始终是安全的）
• NAT主机应该与Bastion主机分开

 time->Thu Jun 26 21:15:12 2014 type=PATH msg=audit(1403802912.787:936): item=0 name="/var/www/example/htdocs/index.php" inode=1182278 dev=ca:01 mode=0100404 ouid=33 ogid=33 rdev=00:00 type=CWD msg=audit(1403802912.787:936): cwd="/var/www/example/htdocs" type=SYSCALL msg=audit(1403802912.787:936): arch=c000003e syscall=90 success=yes exit=0 a0=7fac1ef5a128 a1=104 a2=7 a3=7fac0e1490c0 items=1 ppid=12397 pid=22347 auid=4294967295 uid=33 gid=33 euid=33 suid=33 fsuid=33 egid=33 sgid=33 fsgid=33 tty=(none) ses=4294967295 comm="apache2" exe="/usr/lib/apache2/mpm-prefork/apache2" key=(null)