使用 cksum 检查防病毒伪影

Question

我正在寻找一种好方法来查看 Avira Anti-virus (www.avira.com) 在扫描后是否留下任何痕迹。我在一个环境中工作，其中任何内容都不能被修改，并且盒子按照用户规范与网络断开连接。这个概念是使用 cksum 来监控一个盒子上的所有文件，然后通过管道输出到一个文本文件，并区分 Avira 前后的 cksum。

我试过了：

$ find . | xargs cksum | sort > cksum_A.txt

和

$ find . \! -type p -exec cksum {} \; > cksum_A.txt

我从两个文件中删除了 cksum_A.txt 和 cksum_B.txt 的所有临时和永久实例，因为它肯定会被用作区别。

在多种情况下没有在“./.local/share/gvfs-metadata...”和“./.gconf/apps/nautilus.. .' 被发现是根据diff修改过的。

问题是，有没有更好的方法来识别位级别的伪影？还是直接忽略这些文件并继续前进？

谢谢！

梅森

Answer 1

您可能希望从单用户模式运行，或者至少关闭 GUI 来运行扫描，因为 GUI 应用程序和守护程序可能会在两者之间写入文件。