如何利用自动化脚本定期核对系统关键库文件的SHA256值-安全-PHP中文网

关键在于用系统自带工具串联“生成基准—定期比对—异常响应”三步：windows用powershell脚本+任务计划器监控system32关键文件，或certutil批处理盯少数核心可执行文件；linux用sha256sum+cron校验/etc、/boot等目录；所有方案均需保护基准文件、记录时间戳、自动补查并禁用md5/sha1。

如何利用自动化脚本定期核对系统关键库文件的sha256值

直接用系统自带工具就能做，关键不是装新软件，而是把“生成基准”“定期比对”“发现异常后响应”这三步串起来。

Windows：PowerShell 脚本 + 任务计划器

适合监控 System32 下一批 DLL 或 EXE 文件，比如 lsass.exe、net.exe、kernel32.dll 等。

首次运行生成基准清单（管理员身份运行）：

Get-ChildItem "C:\Windows\System32\*.dll", "C:\Windows\System32\*.exe" -Force -Include lsass.exe,net.exe,cmd.exe | ForEach-Object { $h = Get-FileHash $_.FullName -Algorithm SHA256; [PSCustomObject]@{Path=$_.FullName; SHA256=$h.Hash; LastWriteTime=$_.LastWriteTime} } | Export-Csv C:\audit\baseline.csv -NoTypeInformation

后续校验脚本（verify.ps1）读取 baseline.csv，逐个重算 SHA256 并比对；不一致时写入 alerts.log，并附上当前时间戳：Get-Date -Format "yyyy-MM-dd HH:mm:ss"
把 verify.ps1 加入 Windows 任务计划程序，设为每天凌晨 2 点以最高权限自动运行
注意排除 WinSxS 目录（它会随系统更新频繁变动），也别校验正在被加载的文件（如 lsass.exe 可能被占用，可加 try/catch 跳过）

Windows：certutil 批处理（轻量级盯少数关键文件）

如果只关注三五个核心可执行文件，certutil 更快、不依赖 PowerShell 执行策略，适合老旧或受限环境。

新建 check.bat，硬编码干净系统中提取的 SHA256 值（例如 net.exe 的预期值是 a1b2c3...f0）：

@echo off
for /f "tokens=2" %%i in ('certutil -hashfile "%windir%\System32\net.exe" SHA256 ^| findstr ":"') do set ACTUAL=%%i
if not "a1b2c3...f0"=="%ACTUAL%" echo [ALERT] net.exe changed at %date% %time% >> C:\audit\alerts.log

复制粘贴几段类似逻辑，覆盖 cmd.exe、powershell.exe、lsass.exe
同样用任务计划器定时执行，无需管理员权限也能读取多数系统可执行文件

Linux：sha256sum + cron 定期比对

适合验证 /etc、/boot、/usr/bin 下的关键配置与二进制文件。

首次在可信状态下生成校验存档（建议存到只读挂载点或离线备份）：

sha256sum /etc/passwd /etc/shadow /boot/vmlinuz-* /usr/bin/{ls,cp,mv} > /mnt/secure/filesums.sha256

写校验脚本 check.sh，调用 sha256sum -c /mnt/secure/filesums.sha256 2>/dev/null | grep -v ": OK$"，只输出失败项
加入 cron 每日凌晨运行：0 2 * * * /usr/local/bin/check.sh >> /var/log/integrity.log 2>&1
校验文件本身要防篡改——可用 chattr +i 锁定 filesums.sha256，或配合 auditd 监控其访问行为