Shell统计行数命令：排查日志异常、检查配置文件是否被篡改的实用技巧

上网防护不只是装个杀毒软件、开个防火墙，很多时候，真正的风险藏在服务器日志、系统配置文件甚至定时任务脚本里。比如某天网站突然变慢，后台日志疯涨；又或者 crontab 里多了一条不认识的备份任务——这时候，快速确认文件有多少行，就成了判断是否被恶意追加内容的第一步。

最常用的命令：wc -l

在终端里输入：

wc -l /var/log/auth.log

就能立刻看到这个登录日志一共有多少行。它不显示内容，只报数字，干净利落。

如果想同时看多个文件的行数，直接把路径都列上：

wc -l /etc/passwd /etc/group /etc/shadow

输出会带文件名，方便比对。

过滤后再统计，更精准

光看总行数不够？比如你怀疑有人偷偷往 /etc/crontab 里塞了恶意任务，可以先用 grep 过滤出可疑关键词，再数行数：

grep 'wget\|curl\|sh -c' /etc/crontab | wc -l

返回非零值，就得马上查清楚。

再比如查看当前用户有哪些定时任务正在运行：

crontab -l 2>/dev/null | wc -l

如果平时是 0 行，某天变成 3 行，就该打开看看新增的是什么了。

小技巧：避开空行和注释行

配置文件里常混着大量 # 开头的注释和纯空行，真正起作用的配置可能只有几行。用这句能筛掉干扰：

grep -v '^$\|^#' /etc/ssh/sshd_config | wc -l

它会跳过空行（^$）和注释行（^#），只统计有效配置行数，适合定期做基线比对。

日常防护建议

建议每周挑几个关键文件跑一遍行数快照，存在本地记事本或加密笔记里，比如：

wc -l /etc/passwd /etc/shadow /etc/crontab /etc/cron.d/* 2>/dev/null > ~/security_baseline.txt

下次发现异常，对比一下就知道哪份文件悄悄“长胖”了。

别小看这一行数字——它可能是入侵留下的第一个蛛丝马迹。