---
title: "CSI küber – kas keegi on mu serveris faile muutnud?"
canonical_url: "https://www.zone.ee/blogi/csi-kyber-faili-muutmise-aeg/"
post_type: "post"
published: "2016-08-11T10:34:14+00:00"
modified: "2025-02-26T20:03:34+00:00"
author: "Peeter Marvet"
taxonomies:
  category:
    - name: "Zone.ee Blog"
      url: "https://www.zone.ee/blogi/category/zone-ee-blog/"
  post_tag:
    - name: "Pahavara"
      url: "https://www.zone.ee/blogi/tag/pahavara/"
    - name: "Turvalisus"
      url: "https://www.zone.ee/blogi/tag/turvalisus/"
---

# CSI küber – kas keegi on mu serveris faile muutnud?

Iga endast vähegi lugu pidav küber-kurikael muudab kohe peale tagaukse üles laadimist ära faili kuupäeva – ikka nii, et see sarnaneks ümbritsevate failide omaga. See lihtsalt muudetav ja vaikimisi kataloogi-sisu juures kuvatav aeg on Linuxis `mtime`.

Aga failisüsteemi läheb kirja veel ka tegeliku viimase muudatuse aeg `ctime` mille kirjutab sinna operatsioonisüsteemi kernel ehk kõige kunnim kood, selle aja muutmiseks tuleks [kompileerida uus kernel või muuta serveris kella](http://stackoverflow.com/questions/16126992/setting-changing-the-ctime-or-change-time-attribute-on-a-file/17066309#17066309) (ja sellisel puhul on failide kuupäeva probleem kõige väiksem mure).

Kui logida SSH abil serverisse ja lisada käsule `ls` veidi parameetreid, siis kuvab ta `mtime` asemel `ctime` aega:

```
petskratt$ ls -al wp-load.php
-rw-r--r--@ 1 petskratt  staff  3316 Nov  5  2015 wp-load.php

petskratt$ ls -altc wp-load.php
-rw-r--r--@ 1 petskratt  staff  3316 Apr  5 06:59 wp-load.php
```

Olgu lisatud, et ctime muutub mitte ainult faili, vaid ka näiteks õiguste muutumisel – ning iseenesest ei ole `ctime` ja `mtime` erinevus ega sarnasus põhjus muretsemiseks.

Kuidas aga leida kogu kataloogipuust üles potentsiaalselt probleemsed failid? Katsetasin nii- ja naapidi ning tundub, et muutmise kellaaja järgi grupeerides näeb päris kenasti ära faili-komplektid, mida koos on muudetud. Suuremad jupid on ilmselt tarkvara uuendus (siis muutub sageli ka readme-fail), väiksemad käsitöö:

![what-has-changed](https://www.zone.ee/static/sites/2/2016/08/what-has-changed.png)

Päris raportit saad vaadata siit: [http://pinkmark.miljonivaade.eu/ctimer\_287x398o2z3.php](http://pinkmark.miljonivaade.eu/ctimer_287x398o2z3.php), suuremad muutmised saab huvi korral lahti klõpsata. Hmm, kuulge, miks see footer.php seal muutub?

> **OLULINE MÄRKUS:** Suvalisele külastajale kataloogipuu sisu kuvamine ära-arvatava nimega skripti poolt on väga halb mõte – sellepärast tuleks skriptile kindlasti mingi suffiks lisada nagu näites… aga olete teretulnud pakkuma ka paremat & kasutajasõbralikku ligipääsu piiramist (lihtsalt parool faili kirja?).

Proovi ise, soovita parandusi. Esimesele kes selle abil (varem puhtaks peetud veebist) pahalase leiab – saab osaks võimalus mulle pizza välja teha 🙂

Skripti leiab siit: <https://github.com/zone-eu/ctimer>