rkhunter --checkall 默认交互式暂停需按回车，生产环境应使用 --cronjob 实现自动扫描并记录日志；--propupd 须在系统确认干净后首次运行及核心包升级后更新可信快照。

rkhunter --checkall 为什么卡在按回车？

默认执行 rkhunter --checkall 会逐模块暂停，等你手动敲 Enter——这不是卡死，是交互式设计。生产环境没人守着，必须加参数跳过。

• --skip-keypress 是刚需：让扫描全程自动推进，不中断
• --quiet 要慎用：它会过滤掉所有 [ Warning ] 和 [ Error ]，只剩 [ OK ]，等于自废告警能力
• 真正适合定时任务的是 --cronjob：自动启用 --skip-keypress，日志写入 /var/log/rkhunter.log，且不刷屏

rkhunter --propupd 必须在什么时机运行？

rkhunter --propupd 不是“升级数据库”，而是给当前系统拍一张可信快照——记录 /bin/ls、/usr/bin/md5sum 等关键文件的权限、大小、inode、MD5 值。一旦系统已被入侵，这个快照就污染了，后续所有比对都失效。

• 首次安装后、确认系统干净（没异常进程、没可疑网络连接）再运行
• 升级 glibc、coreutils 等核心包后建议重跑一次，否则可能误报“/bin/ls 权限异常”
• 绝对不要在已发现 File hash mismatch 或 Hidden file 的系统上补跑

扫描日志里一堆 [ Warning ] 怎么判断真假？

大量 [ Warning ] 很常见，不代表被黑。重点不是数量，而是类型。

• 先定位日志：grep "Warning\|Error" /var/log/rkhunter.log | head -20
• 优先盯三类：File hash mismatch（文件哈希真变了）、Hidden file（/proc 下异常进程或 /dev/.xx 隐藏文件）、Kernel module（陌生内核模块加载）
• 像 /sbin/ifdown [ Warning ] 或 /usr/bin/GET [ Warning ] 多因符号链接指向 busybox、SELinux 限制导致，可加 ALLOWHIDDENFILE=/sbin/ifdown 到 /etc/rkhunter.conf 并注释原因

只靠 rkhunter 定时扫描够不够？

不够。rkhunter 是静态快照比对工具，只查“文件有没有被改”，不监控“进程有没有在偷偷连外网”或“内存里有没有注入代码”。它属于事后验证，不是实时防线。

• 必须搭配 chkrootkit（检测命令输出篡改模式）和 lynis audit system（基线配置检查）
• 应急时手动跑 ss -tulpn 查监听端口，比依赖 rkhunter 的端口扫描更可靠
• 最保险的方式是用 LiveCD 启动后挂载原磁盘扫描，彻底绕过可能已被劫持的内核和系统命令