rkhunter

Rootkit Hunter 恶意软件检查

补充说明

rkhunter 检查常见 rootkit、后门、可疑文件和异常权限，适合主机安全巡检。它依赖签名库和基线，不能替代完整的 EDR/杀毒方案。

常用示例

rkhunter --update
rkhunter --propupd
rkhunter --check
rkhunter --check --sk
rkhunter --check --report-warnings-only
rkhunter --logfile /var/log/rkhunter.log
rkhunter --version

常见检查项

已知 rootkit 特征
SUID/SGID 文件
隐藏文件与异常权限
登录与网络异常
包管理器文件校验

易错点与排错

• 首次运行或系统升级后要 --propupd 更新基线，否则全是误报。
• 签名库要定期 --update；离线环境要提前同步。
• 误报很常见（自定义内核、第三方包）；逐条确认再处理。
• 它只覆盖已知特征，不能发现新型恶意软件。
• 需要 root 读取完整文件系统；容器内检查不代表宿主机。
• 定期 cron 执行并集中收集告警，不要只留在本机日志。
• 发现可疑项先隔离取证，不要直接删除证据。

相关命令

• rkhunter — rootkit 检查
• aide — 文件完整性
• lynis — 主机审计