| 配置 | /etc/logrotate.conf 与 /etc/logrotate.d/ |
|---|---|
| 状态 | /var/lib/logrotate/status 或 logrotate.status |
| 可疑点 | 新增规则、copytruncate 覆盖、postrotate 指向脚本 |
| 核对 | mtime 与包归属（dpkg -S / rpm -qf） |
核对配置与状态
核对配置与状态
ls -la --time-style=long-iso /etc/logrotate.d/
grep -rn 'copytruncate\|postrotate' /etc/logrotate.d/ | head -n 20
ls -la /var/lib/logrotate* 2>/dev/null改配置本身不是攻击；关键是改动是否与排查时间线吻合、命令是否指向异常脚本。