| 命令 | sha256sum / rpm -Vf / dpkg -V |
|---|---|
| 目标 | 登录、提权与网络相关程序 |
核对
核对
sha256sum /usr/sbin/sshd /bin/bash /usr/bin/sudo /usr/bin/ssh
rpm -Vf /usr/sbin/sshd 2>/dev/null || dpkg -V openssh-server 2>/dev/null把输出与安装介质或同版本干净主机的哈希对比，比单机校验更有说服力。
关键二进制哈希核对
对 shell、sshd、sudo 等关键程序计算哈希并与包管理器校验结果交叉，可发现被替换的木马化二进制。
易错点
- 包校验只覆盖包内文件，自编译或替换后重打包会绕过检查
- 静态链接的独立工具可避免使用被替换的系统命令
数据来源与参考
- NIST SP 800-86（取证中的完整性校验）
- rpm 手册（rpm(8) -V）