| Debian | dpkg -S <文件>、debsums |
|---|---|
| RHEL | rpm -qf <文件>、rpm -Vf <文件> |
反查
反查
rpm -qf /usr/local/bin/agent 2>/dev/null || dpkg -S /usr/local/bin/agent 2>/dev/null
rpm -Vf $(which curl) 2>/dev/null | head/usr/local 与 /opt 下的文件通常不属于发行版包，需要靠部署记录解释来源。
文件归属与发行版来源判定
用包管理器反查文件属于哪个软件包，可区分系统自带、第三方安装与手工投放，是给可疑文件定性的基础步骤。
易错点
- 被篡改的包数据库也会给出错误答案，需与介质校验交叉
- 容器镜像内往往没有包数据库，反查会失败
数据来源与参考
- rpm 手册（rpm(8) -qf/-Vf）
- dpkg 手册（dpkg -S）