Linux find 指令精準尋找近期修改檔案：-mmin、-mtime 實戰速查

網站被植入惡意代碼、配置檔被竄改、日誌異常增長——第一時間定位「近期被修改的檔案」是應急響應關鍵。find 的 -mmin (分鐘) 與 -mtime (天) 是最銳利的手術刀。

核心語法

find 搜尋路徑 -type f -name "模式" -mmin/-mtime 數值

• -mmin n：修改時間距今 **n 分鐘**內
• -mmin -n：同上 (負號可省略)
• -mmin +n：修改時間距今 **超過 n 分鐘**
• -mtime n：修改時間距今 **n*24 小時**內 (以 24h 為單位捨入)
• -mtime -n：n 天內 (含今天)
• -mtime +n：n 天前 (不含今天)

實戰範例

# 1. 當前目錄下 30 分鐘內修改過的 .php 檔
find . -name '*.php' -type f -mmin -30

# 2. 顯示詳細資訊 (ls -l 格式)
find . -name '*.html' -type f -mmin -30 -ls

# 3. 1 天內 (24h) 修改過的一般檔案
find . -type f -mtime -1

# 4. 2 天前 (48h 以前) 修改過的檔案
find . -type f -mtime +1

# 5. 指定目錄 /var/www 近 2 小時內變動
find /var/www -type f -mmin -120

# 6. 結合 grep 進一步過濾內容
find /etc -type f -mtime -1 -exec grep -l "suspicious_pattern" {} \;

時間判斷邏輯圖解

現在
  │
  ├─ -mtime 0   → 今天 0:00 ~ 現在
  ├─ -mtime -1  → 昨天 0:00 ~ 現在 (含今天)
  ├─ -mtime 1   → 前天 0:00 ~ 昨天 23:59
  ├─ -mtime +1  → 前天 0:00 以前
  │
  ├─ -mmin -60  → 1 小時內
  ├─ -mmin +60  → 1 小時前

應急響應標準流程

1. cd /var/www/html 進入網站根目錄
2. find . -type f -mmin -60 -ls > /tmp/recent_changes.log 導出近 1 小時變動
3. 人工/腳本比對白名單，鎖定可疑檔案
4. stat 可疑檔案 確認 Modify/Change 時間
5. rpm -Vf 可疑檔案 (RPM 系統) 或 dpkg -S (Debian) 驗證套件完整性

進階組合

# 找出 7 天內修改、大於 100K、非日誌檔
find /opt/app -type f -mtime -7 -size +100k ! -name "*.log"

# 以修改時間排序，最新在前
find . -type f -mtime -3 -printf "%T@ %Tc %p\n" | sort -rn | head -20

-mtime -1 是「1 天內」，-mtime +1 是「2 天前」。記住「負號=內含、正號=外推」，應急時不會查錯時間窗。