CentOS系統RPM安全檢查

餘二五發表於2017-11-08
CentOS

執行下面的命令可以檢查rpm包安裝後發生了什麼改變


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
# rpm -Va
S.5....T.  c /etc/watchdog.conf
S.5....T.  c /etc/xinetd.d/tftp
S.5....T.  c /etc/rc.d/rc.local
S.5....T.  c /etc/sysctl.conf
S.5....T.  c /etc/bashrc
S.5....T.  c /etc/dhcp/dhcpd.conf
....L....  c /etc/pam.d/fingerprint-auth
....L....  c /etc/pam.d/password-auth
....L....  c /etc/pam.d/smartcard-auth
....L....  c /etc/pam.d/system-auth
S.5....T.  c /etc/security/limits.conf
S.5....T.  c /etc/postfix/main.cf
S.5....T.  c /etc/ssh/sshd_config
S.5....T.  c /etc/nanorc
S.5....T.  c /etc/httpd/conf/httpd.conf


程式碼的意思是

1
2
3
4
5
6
7
8
9
S file Size differs
M Mode differs (includes permissions and file type)
5 digest (formerly MD5 sum) differs
D Device major/minor number mismatch
L readLink(2) path mismatch
U User ownership differs
G Group ownership differs
T mTime differs
P caPabilities differ


以 /etc/watchdog.conf為例

S.5....T. c /etc/watchdog.conf


第一個字母S，是檔案size發生了變化

第二個是數字5，是檔案的md5值發生了變化

第三個字母T，是mtime發生了變化

第四個字母c，是change的縮寫。


可以看出，這個檔案在watchdog軟體包安裝後，發生了編輯行為。由於是配置檔案發生修改，基本可以視作正常的，如果是二進位制檔案被修改，就值得注意了。

本文轉自 紫色葡萄 51CTO部落格，原文連結：http://blog.51cto.com/purplegrape/1310107，如需轉載請自行聯絡原作者


相關文章