寻求可监控Web服务器目录文件变更/新增/删除的自动化工具

针对你这种WordPress站点遭遇小范围攻击后，想要通过监控文件异动快速发现入侵的需求，确实有不少成熟工具可以直接用，完全不用自己从头造轮子～结合你的场景（大部分文件静态、仅日志会常规变更），给你推荐几个实用方案：

1. 专业文件完整性监控工具 #

Tripwire #

作为老牌的入侵检测工具，Tripwire专门做文件完整性校验，完美匹配你的需求：

• 首次使用时生成包含所有文件哈希值的初始数据库，命令是 tripwire --init
• 之后可以手动执行 tripwire --check 扫描对比，也能配置cron定时任务自动定期检测
• 支持自定义排除目录（比如你的日志文件夹），避免误报；发现文件增删改时会生成详细告警，可配置邮件通知
• 缺点是部分版本为商业付费，但开源社区版也足够满足基础监控需求

AIDE（Advanced Intrusion Detection Environment） #

开源轻量的替代方案，配置更灵活：

• 初始化数据库命令：aide --init，会根据你在配置文件中定义的监控规则生成哈希库
• 执行 aide --check 即可对比当前文件和初始库的差异，结果会输出到终端或指定日志文件
• 可以通过修改配置文件轻松指定要监控的目录、忽略的文件类型/路径，非常适配你的静态文件场景
• 同样可以配合cron实现定时扫描，用脚本把告警信息发送到你的邮箱

2. 轻量命令行工具组合（适合极简需求） #

如果不想安装复杂工具，用基础哈希工具+简单脚本就能搞定：

• 第一步生成初始哈希列表（以sha256为例，排除日志目录）：

  find /path/to/your/wordpress/webroot -type f ! -path "*/logs/*" -exec sha256sum {} \; > file_hashes.txt
  

• 然后写个简单的shell脚本，定时对比当前文件哈希和初始列表：

  #!/bin/bash
  CURRENT_HASHES=$(find /path/to/your/wordpress/webroot -type f ! -path "*/logs/*" -exec sha256sum {} \;)
  DIFF=$(echo "$CURRENT_HASHES" | diff file_hashes.txt -)
  
  if [ -n "$DIFF" ]; then
      echo "文件异动检测到："
      echo "$DIFF" | mail -s "Web服务器文件异动告警" your-email@example.com
  fi
  

• 把这个脚本加到cron里，比如每天凌晨2点执行一次，就能自动监控并告警了

3. WordPress专属插件（省心首选） #

既然是WordPress站点，用专属插件最省心，还能兼顾其他安全防护：

• Wordfence Security：自带文件完整性扫描功能，会自动对比WordPress核心文件、主题、插件的官方哈希值，发现篡改、新增或删除文件时，会在后台弹窗告警，也能配置邮件通知。同时它还有防火墙、恶意代码扫描等功能，能帮你加固站点整体安全
• Sucuri Security：除了文件监控，还提供网站防火墙、DDoS防护、恶意代码清理等一站式安全服务，文件异动检测会实时告警，适合不想折腾命令行的用户

额外建议 #

• 不管用哪种工具，初始生成的哈希库一定要存在安全的地方（比如离线存储、另一台服务器），别放在被监控的web服务器上，防止黑客篡改哈希库规避检测
• 每次更新WordPress核心、主题或插件后，记得重新生成哈希库，避免误报
• 工具监控只是安全防护的一部分，你提到的改密码、全量软件更新、配置防火墙这些基础措施一定要落实到位

备注：内容来源于stack exchange，提问作者Andrei Herford