什么是so文件？
so文件（Shared Object文件）是Linux系统中的动态链接库文件，类似于Windows系统中的DLL文件。它们包含了可被多个程序共享的代码和数据，是系统正常运行的关键组件。常见的so文件位于/lib、/lib64、/usr/lib等目录下。
由于so文件在程序运行时被加载，一旦被恶意修改，可能导致程序行为异常、系统不稳定，甚至成为后门或病毒的传播载体。因此，定期检测关键so文件的完整性至关重要。
检测so文件是否被修改的方法
1. 使用校验和进行比对
最直接的方法是计算so文件的哈希值（如MD5、SHA256），并与已知的、可信的哈希值进行比对。
# 计算文件的MD5值
md5sum /lib/x86_64-linux-gnu/libc.so.6
# 计算文件的SHA256值
sha256sum /lib/x86_64-linux-gnu/libc.so.6
md5sum /lib/x86_64-linux-gnu/libc.so.6
# 计算文件的SHA256值
sha256sum /lib/x86_64-linux-gnu/libc.so.6
建议在系统刚安装或确认安全时，为关键so文件生成一份哈希值清单，后续定期比对。
2. 检查文件属性
通过查看文件的权限、所有者、大小和修改时间，可以发现异常。
# 查看文件详细信息
ls -la /lib/x86_64-linux-gnu/libc.so.6
# 查看文件类型
file /lib/x86_64-linux-gnu/libc.so.6
ls -la /lib/x86_64-linux-gnu/libc.so.6
# 查看文件类型
file /lib/x86_64-linux-gnu/libc.so.6
如果发现文件大小突变、权限被修改（如从644变为777）或修改时间异常，应引起警惕。
3. 使用系统完整性工具
专业的工具如AIDE（Advanced Intrusion Detection Environment）或Tripwire可以监控文件系统的变更。
# 初始化AIDE数据库（首次）
aide --init
# 比对当前文件系统与数据库
aide --check
aide --init
# 比对当前文件系统与数据库
aide --check
这些工具可以自动化地监控大量文件，适合在服务器环境中部署。
4. 比较二进制内容
如果有原始的so文件备份，可以使用cmp或diff命令进行二进制比对。
# 二进制比较两个文件
cmp original.so modified.so
# 显示差异
diff -u original.so modified.so
cmp original.so modified.so
# 显示差异
diff -u original.so modified.so
自动化检测脚本示例
以下是一个简单的bash脚本，用于检测指定so文件的MD5值是否发生变化：
#!/bin/bash
FILE="/lib/x86_64-linux-gnu/libc.so.6"
KNOWN_MD5="a7629b7601958f9a608d5e2c3d4e5f6a" # 替换为实际的已知安全哈希值
CURRENT_MD5=$(md5sum "$FILE" | awk '{print $1}')
if [ "$CURRENT_MD5" = "$KNOWN_MD5" ]; then
echo "OK: $FILE 未被修改"
else
echo "警告: $FILE 可能已被修改!"
echo "当前MD5: $CURRENT_MD5"
echo "预期MD5: $KNOWN_MD5"
fi
FILE="/lib/x86_64-linux-gnu/libc.so.6"
KNOWN_MD5="a7629b7601958f9a608d5e2c3d4e5f6a" # 替换为实际的已知安全哈希值
CURRENT_MD5=$(md5sum "$FILE" | awk '{print $1}')
if [ "$CURRENT_MD5" = "$KNOWN_MD5" ]; then
echo "OK: $FILE 未被修改"
else
echo "警告: $FILE 可能已被修改!"
echo "当前MD5: $CURRENT_MD5"
echo "预期MD5: $KNOWN_MD5"
fi
提示：将此脚本保存为check_so.sh，并通过cron定时任务定期执行，可实现自动化监控。