| 文件 | /etc/passwd、/etc/shadow、/etc/group、/etc/gshadow |
|---|---|
| 辅助 | stat 的 mtime 与 ctime |
对比
对比
stat -c '%n mtime=%y ctime=%z' /etc/passwd /etc/shadow /etc/group /etc/gshadow系统升级或批量账号同步也会更新这些文件，判定前先排除自动化变更。
账户文件时间窗口比对
passwd、shadow、group、gshadow 的修改时间落在事件窗口内时，这些文件就是重点证据，需进一步用监视记录与内容差异佐证。
易错点
- mtime 与 ctime 都变化说明内容被改写，只有 ctime 变化可能只是权限调整
- 时钟不可靠的主机上时间窗判断要打折
数据来源与参考
- man 1 stat（GNU coreutils）