校验Linux程序是否被黑客修改

一个黑客突破你的层层防御后，修改你的程序或者覆盖了你的工具时。确定一个已安装程序的所有文件，有没有被修改过的途径之一就是使用RPM包校验功能

如果图片排版有任何错误，欢迎访问我的简书www.jianshu.com/p/906e39353e09

RPM包校验功能

此功能可以将你现在的程序所有文件，与当初安装时记录到数据库中的信息进行比对。从而查出哪些文件目录的权限、内容等等是否被修改过。

1.安装一个zsh软件用来进行实验

[root@centos6 app]# rpm -ivh zsh-4.3.11-4.el6.centos.2.x86_64.rpm 

---

2.查看数据库文件
在/var/lib/rpm中都是是安装软件时留下的数据库文件，其中以__db开头的是缓存文件并非正真的数据文件，这个文件会保留程序包名称及版本、依赖关系、功能说明、包安装后生成的各文件路径及校验码信息

---

3.查看zsh软件所有的文件以及目录
使用rpm -ql zsh可以查看出这个软件安装时的所有目录以及文件，待会我随机挑选一个模拟被黑客所修改。

---

4.挑选出一个文件
随机挑选出一个文件，使用file查看文件类型为文本。
然后往文本中随机添加一些字符，来模拟被黑客修改。

---

5.向vcs_info这个文件中随机添加一些字符。

---

6.使用RPM包校验功能，发现已经有3个地方被修改过
S代表文件大小
5代表MD5
T代表mtime
使用 rpm -v csh 即可查看哪些文件与当初安装时有所不同。如果全是.....没有任何字母代表软件没有被修改过。

---

7.包校验各项参数的含义

在日常运维中就可以利用RPM自带的包校验功能即可查验出哪些软件，被认为的修改过、破坏过。使自己的系统更加安全