浅谈从 linux 档案变更时间来检视网站是否被黑

很多时候, 我们可以通过检视档案改动时间 (mtime) 来直观的判断档案是否为自己上传, 从而断定网站是否曾被黑.
对于站群服务器管理员, 我们可以通过检视 mtime 来缩短检查资料时间.
 
开始我们简单了解下档案时间:
access time   atime 在读取档案或执行档案时会修改 create time   ctime 在档案写入，更改所有者，许可权。连结时档案的 ctime 会随之改变 modified time  mtime 在档案写入时会改
 
接下来我们该如何去检查自己资料是否变更:
(1) 使用 find 命令:
查询在某个时间段之间 (如 20160228—20160301) 的档案, 可以使用如下命令:
>> find . -newermt ‘20160228’ ! -newermt ‘20160301’
 
找出”3 天以前被改动过的档案”
>> find . -mtime +3 -type f -print
 
找出”3 天内被改动过的档案”
>> find . -mtime -3 -type f -print
 
找出” 第三天被改动过的档案”
>> find . -mtime 3 -type f -print
>> find . -mtime +2 -mtime -4 -type f -print
注: “.” 表示当前目录
 
(2) 其实最直观的方式就是进行档案时间排序
>> cd 相应目录
>> ls -lrt
-l use a long listing format 以长列表方式显示（详细资讯方式）
-t sort by modification time 按修改时间排序（预设最新时间的在最前面）
-r reverse order while sorting （反序）