我如何在Linux中找到可疑文件

Question

我正在嘗試制作自己的ls。 此外，我想實現安全的ls選項，該選項可以在整個linux系統中找到可疑文件。 我只用兩個信息來做決定。（文件的位置，文件的屬性）

我如何確定哪個文件可疑？

我找到了一些例子。

EX）

• / dev / setuid＃如果/ dev中有setuid文件，則警告
• / etc / .file＃如果存在以字符'。'開頭的文件。 在/ etc中，然后警告
• / worldwritable＃如果整個目錄中有777個滲透文件
• / setgid＃如果整個目錄中都有setgid文件

請給我你的想法！

（我認為沒有正確的答案，但我只想要您的合理想法）

Answer 1

好吧， 我們無法告訴您您認為哪些文件“可疑” ...

您的描述聽起來像您想實現一個“規則目錄”，並根據其測試所有結果條目，但這非常含糊。 通用方法是將文件列表原始結果中的每個條目（ ls通常執行的操作）饋入某種邏輯，該邏輯將目錄中的所有規則應用於該條目。 如果一個規則匹配（結果為true ），那么您就匹配了。 聽起來像是用C語言編碼的實用程序和以Lua編碼的規則（作為插件）的一個很好的例子。 這將提供極大的可擴展性。 但是請記住您創建的極端性能開銷！

通常使用不同的策略：大多數Linux系統上的軟件包管理都可以確定文件是否為已安裝軟件包的“所有者”以及是否已被修改。 這在這里可能會派上用場：您可以在/etc ， /var ， /srv /etc典型位置檢查每個文件的“擁有”包，如果該文件不屬於任何包，那么這就是我可疑的東西，因為它提示“野生安裝的軟件包”，因此有人繞過了軟件包管理。