使用find命令聚焦高危路径（/tmp、/var/tmp、/dev/shm、Web目录）筛选+100M文件，结合时间、权限、属主、扩展名及内容特征精准识别黑客内存转储分片。
直接用 find 配合 -size +100M 可以快速定位潜在的黑客转储分片——这类文件通常体积大、命名异常、隐藏在非标准路径（如 /tmp、/dev/shm、/var/tmp 或 Web 目录深层），且可能被刻意设置为不可读属性或硬链接绕过常规扫描。
限定范围，避开误报和权限风暴
全盘扫描（find / -type f -size +100M）容易因权限拒绝大量报错，干扰判断，还可能触发安全监控。应优先聚焦高危区域：
-
find /tmp -type f -size +100M 2>/dev/null—— 临时目录是攻击者最常写入转储的首选地 -
find /var/tmp /dev/shm -type f -size +100M 2>/dev/null—— 这些区域常被忽略，但支持大文件驻留 -
find /var/www /opt -type f -size +100M -name "*\.bin\|*\.dat\|*\.raw" 2>/dev/null—— 匹配典型转储扩展名，减少噪声
增强识别：加时间、权限、内容线索
黑客分片往往有行为痕迹：近期生成、属主异常、无执行权限但体积巨大。可组合过滤：
-
find /tmp -type f -size +100M -mtime -3 -not -user root -ls 2>/dev/null—— 找出近3天内非 root 创建的大文件 -
find /tmp -type f -size +100M ! -perm -o=r 2>/dev/null | xargs ls -l—— 排除公开可读的正常缓存，聚焦刻意隐藏的文件 - 对可疑文件快速抽样：
head -c 512 /tmp/suspicious.bin | strings | head -5，看是否含内存结构特征（如ELF、proc/kcore、stack dump等关键词）
排序+精简输出，直击Top目标
不单靠大小，要结合可信度排序。以下命令把最可疑的10个文件按大小倒序列出，带权限、属主、修改时间：
find /tmp /var/tmp /dev/shm -type f -size +100M 2>/dev/null -printf "%s\t%u\t%g\t%TY-%Tm-%Td %TH:%TM\t%p\n" | sort -nr | head -10 | while IFS=$'\t' read size user group mtime path; do echo -e "${size}B\t${user}:${group}\t${mtime}\t${path}"; done
重点关注：属主为 nobody、www-data 或随机UID，且修改时间在业务低峰期的条目。
注意规避转储分片的常见伪装手法
攻击者可能用以下方式藏匿分片，需针对性检查：
- 文件名伪装成日志或备份：
*access.log.gz、*backup.tar，但实际file检测为 data；可用file -i suspicious.tar验证 MIME 类型 - 拆分为多个
part001～part010小文件（每个find /tmp -type f -name "part*" | xargs ls -S | head -10 - 写入
/proc/self/fd/或通过memfd_create创建匿名内存文件（不占磁盘），此时find查不到，需配合lsof -nP +L1或ps auxf | grep -E "(memfd|\/dev\/shm)"
