| 典型用法 | --check 全量体检 |
|---|---|
| 离线非交互 | --skip-keypress |
| 关注 | Warning 行与 INFECTED 标记 |
| 基线 | --propupd 更新数据库（慎用） |
非交互跑一轮并只看告警
非交互跑一轮并只看告警
rkhunter --check --skip-keypress --report-warnings-only
# 结果同时写入 /var/log/rkhunter.log，取证时一并打包
cat /var/log/rkhunter.log | grep -i warning | head -n 40感染后不要急着 rkhunter --propupd：它会把被篡改的现状写成新基线，等于洗掉证据。