木马扫描工具，一次全站扫描被中断后怎样判断已覆盖范围
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /e0e1b5f56af5.html
📄
木马扫描工具，一次全站扫描被中断后怎样判断已覆盖范围
中断后不要根据进度条或“已扫描文件数”直接下结论，而应先确认扫描器是否留下了可续用的状态文件、日志或缓存。若没有，最稳妥的判断是：本次结果只能覆盖中断前明确记录过的路径，其余范围应视为未覆盖。下面按“保留、改写、退出”三种取舍说明适用前提。
先看中断类型：进程被杀、超时退出、主动停止，覆盖含义不同
同样是“中断”，可判断的范围差别很大。需要先区分三种情况：
- 进程被强制结束：扫描器通常来不及写入完成标记，最后一批已扫文件可能未落盘。此时日志末尾的时间戳和最后一个完成目录，比总数更可信。
- 超时或资源限制退出：部分工具会保留断点文件，下次可续扫。能否续用取决于该文件是否包含目标路径清单和已完成项，而不是仅有一个百分比。
- 人为主动停止：若停止前触发了结果落盘，已完成部分的结论通常可用；若只是终止进程，仍需按未完成处理。
判断动作：打开扫描器的工作目录或日志目录，查找断点文件、状态文件和最近修改的日志。若这些文件最后修改时间与中断时间一致，说明有可续用状态；若时间明显早于中断时间，说明最后一段扫描没有记录，不能计入覆盖范围。
保留：什么条件下可以把中断结果当作部分有效证据
保留中断结果的前提是覆盖范围可被逐项复述，而不是“大概扫了一半”。满足以下条件时，可以保留并用于下一步排查：
- 扫描目标以目录或文件清单形式记录，且清单在中断前已固定，未在扫描过程中动态扩展。
- 日志中每个已完成项带有路径和结束标记，能区分“已扫完”和“扫到一半”。
- 中断后没有对同一批文件做增删改，否则已扫结论可能已经过期。
- 排除项、跳过项被单独记录，避免把“跳过”误算成“已覆盖”。
满足这些条件时，实际动作是导出已完成清单，与全站目标清单做差集，差集部分标记为未覆盖。这个差集结果会直接决定下一步：差集小且集中在非关键目录，可以只补扫差集；差集大或无法确定边界，就应整体重扫。
改写：把“全站扫描”降级为分片扫描时要注意的边界
如果全站扫描反复中断，常见取舍是改成按目录分片、逐片完成。这个做法在个别样本上成立，但规模化后容易出现例外：
- 分片边界若按目录划分，跨目录引用、符号链接和挂载点可能被重复扫或漏扫。需要确认工具对链接的处理方式，未知时应实测一个小目录验证。
- 分片后每片独立出报告，汇总时要去重。同一文件被两片覆盖，计数会虚高，不能直接相加当作全站覆盖量。
- 若工具依赖全局缓存做关联判断，分片运行可能削弱这种关联，结论强度低于一次完整扫描。
假设一个例子：某次全站扫描在完成约六成时被系统回收，日志显示最后完成路径为 /data/site/c。此时把剩余部分拆成 /data/site/d 和 /data/site/e 两片补扫，补扫前先确认这两片与已扫部分没有重叠挂载。补扫完成后，用路径去重再合并，才能得到接近全站的覆盖判断。这个例子只说明比较方法，不代表任何具体工具的实际行为。
退出：什么时候应放弃中断结果并整体重来
以下情况建议退出，不再试图拼凑覆盖范围：
- 日志只记录总数，没有路径级完成标记，无法还原边界。
- 中断后目标目录发生了大量变更，已扫部分与当前状态不一致。
- 扫描器版本或配置在中断后被改动，前后结果不可比。
- 需要出具可复核结论，而当前证据链无法说明“哪些扫过、哪些没扫”。
退出的实际动作是：先保存现有日志和断点文件作为记录，再以固定目标清单重新发起一次扫描，并在启动前确认日志级别足以记录路径级进度。这样即使再次中断，下一次也能用同样的差集方法判断范围。
判断覆盖范围时最容易踩的两个误区
第一，把“已用时间”当覆盖比例。扫描速度随文件大小和类型波动，时间占比不等于文件占比。第二，把“无告警”当“已覆盖”。无告警只说明已扫部分未命中规则，不能说明未扫部分安全。区分这两点后，下一步动作才有依据：先确定边界，再决定补扫、分片还是重扫，而不是直接采信中断前的总数。
