| 检查对象 | 常用系统命令、LKM、网络接口 |
|---|---|
| 快速模式 | -q 只输出异常 |
| 注意 | 容器与特殊发行版误报较多 |
| 交叉验证 | 与 rpm -V / dpkg -V 结果比对 |
过滤正常项，只看可疑输出
过滤正常项，只看可疑输出
chkrootkit -q
chkrootkit | grep -v -e 'not infected' -e 'not found' -e 'nothing detected' | head -n 40输出 INFECTED 需复核：升级后的内核模块、容器挂载点都可能误报。
chkrootkit 常见篡改检查
chkrootkit 检查 ls、ps、netstat 等系统二进制是否被替换，以及常见 LKM 与网卡混杂模式，适合与 rkhunter 交叉验证。
易错点
- 把 INFECTED 一律当结论：误报会诱导误删正常文件
- 在容器里跑却按宿主机语义解读结果，整份失真
数据来源与参考
- chkrootkit 官方站点文档