Linux入侵检测常用命令

find / -mtime 0
#0代表目前时间，表示从现在开始到24小时以前，有改动过内容的文件全都会被列出来。如果是3天前24小时内，则使用find / -mtime 3

find /etc -newer /etc/passwd
#查找/etc下面文件日期比/etc/passwd新的文件