Day: July 3, 2025

在使用 ClamAV 进行文件扫描时，日志中经常会出现如下警告信息： pgsqlCopyEditLibClamAV Warning: cli_scanxz: decompress file size exceeds limits – only scanning 105906176 bytes 这条信息可以分解为以下几个部分： 产生原因 ClamAV 为了防止扫描过程中消耗过多系统资源，默认对解压后文件的大小设定了限制。这主要是出于性能和安全考虑，避免在面对恶意构造的巨型压缩文件时导致系统资源耗尽。 是否需要调整 若需要完整扫描所有内容，可在 clamd.conf 配置文件中通过修改如下参数进行调整： confCopyEditMaxFileSize 500M MaxScanSize 1G 需要注意，增加这些值将导致更高的内存和 CPU 占用，并可能导致扫描耗时显著增加。实际应用中，通常只在对安全性要求极高的环境或需要扫描大文件的情况下才会考虑修改。 总结 当 ClamAV 遇到解压后超出大小限制的文件时，会发出警告但继续进行扫描，仅扫描指定限制内的部分数据。这种机制是一种平衡性能与安全性的默认保护措施。在大多数场景下，可保持默认配置，无需额外干预。

在 Linux 系统中，如果需要定期对整台机器进行恶意软件（病毒、木马等）扫描，ClamAV 是一个常用的免费工具。以下介绍如何进行全盘扫描，并将完整扫描结果保存为带时间戳的日志文件，方便后续查看或归档。 基础扫描命令 ClamAV 的 clamscan 工具支持递归扫描，最基本的写法如下： bashCopyEditclamscan -r / 但这样会扫描系统中的所有文件，包括 /proc、/sys、/dev 等虚拟或设备目录，这些目录不适合扫描，会产生大量错误信息。 排除系统特殊目录 为了避免扫描无意义的系统伪文件系统，可以使用 –exclude-dir 参数排除这些目录，例如： bashCopyEdit–exclude-dir=/proc –exclude-dir=/sys –exclude-dir=/dev 此外，如果还需要排除其他目录（比如存放大文件或备份的目录），也可继续添加 –exclude-dir 参数。 自动保存扫描日志 为了后期分析结果，通常需要将扫描输出同时保存为日志文件。可以结合 tee 命令实现： bashCopyEditclamscan -r –bell –exclude-dir=/proc –exclude-dir=/sys –exclude-dir=/dev / | tee /root/clamav_scan_$(date +%Y%m%d_%H%M%S).log 命令说明 是否支持「增量扫描」 ClamAV 的 clamscan 不会自动跳过已扫描过的文件，每次执行都会重新完整扫描。它不包含「增量扫描」或「缓存机制」，也不会记住上次扫描状态。 如果需要仅扫描新增或修改过的文件，需要额外实现文件变更检测（例如使用 inotify）或定期针对指定文件夹进行局部扫描。 总结 💡 …

近期在对 Linux 系统进行安全加固时，执行了 rootkit 检查工具 rkhunter，并同步完善了 SSH 配置。以下为详细流程总结。 🕵️ rkhunter 检查流程 在执行 rkhunter –check 时，默认会在每个阶段提示「按 Enter 继续」，需要手动操作，无法一次性跑完。为实现自动化，可使用以下命令： sudo rkhunter –check –skip-keypress 如果需要将输出保存为日志文件，可追加 tee： sudo rkhunter –check –skip-keypress | tee /root/rkhunter_check_$(date +%Y%m%d_%H%M%S).log 💾 更新文件属性数据库 执行属性文件数据库更新时，常用命令如下： udo rkhunter –propupd 默认会提示确认，可使用 -y 参数自动同意： sudo rkhunter –propupd -y 🔒 SSH 配置安全性调整 rkhunter 在检测 SSH …