| 线索 | mtime < ctime、批量相同时间、早于装机时间 |
|---|---|
| 对比 | stat 四时间戳 + 日志时间线 |
| 定位 | find -newermt 圈定批量改动 |
| 前提 | 分析在镜像上进行，避免自身改动时间戳 |
检查时间戳与批量改动
检查时间戳与批量改动
stat -c '%n mtime=%y ctime=%z birth=%w' /www/wwwroot/suspect.php
find /www/wwwroot -type f -newermt '2026-10-01' ! -newermt '2026-10-12' | head -n 30部分文件系统支持 birth time（stat %w）；不支持时用 ctime 与日志交叉判断。