发现服务器异常时应立即安装rkhunter：先确认系统类型并启用EPEL源（CentOS/RHEL系必需），再用apt/dnf/yum安装或手动编译，安装后必须执行--propupd建立可信基线并--update更新特征库。
当服务器出现异常高负载、可疑进程或不明登录记录时，需要立即安装rkhunter进行rootkit和后门扫描，避免攻击者长期驻留并窃取数据。
确认系统环境与依赖
先检查操作系统发行版及是否已启用EPEL源（CentOS/RHEL系必需）：运行 cat /etc/os-release | grep -E "(NAME|VERSION)" 确认系统类型；若为CentOS 7/8、Rocky/AlmaLinux或RHEL，必须先启用EPEL仓库，否则yum/dnf将无法找到rkhunter包。
执行 sudo dnf install epel-release -y（RHEL 8+/CentOS 8+）或 sudo yum install epel-release -y（CentOS 7/RHEL 7），这一步漏掉会导致后续安装直接失败。
使用包管理器一键安装（推荐）
适用于主流发行版，操作最简且自动处理依赖：
① Ubuntu/Debian系统：sudo apt update && sudo apt install rkhunter -y
② CentOS/RHEL/Rocky/AlmaLinux系统：sudo dnf install rkhunter -y（RHEL 8+）或 sudo yum install rkhunter -y（RHEL 7/CentOS 7）
安装完成后运行 rkhunter --version 验证是否输出类似 RKhunter 1.4.6 的版本信息。若报“command not found”，说明PATH未更新，需手动执行 /usr/bin/rkhunter 或重新登录shell。
手动编译安装（仅限无网络或定制需求场景）
方法一：源码编译安装
下载源码包：wget https://downloads.sourceforge.net/project/rkhunter/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz
解压并进入目录：tar -zxvf rkhunter-1.4.6.tar.gz && cd rkhunter-1.4.6
执行安装脚本：sudo ./installer.sh --layout default --install。该命令会将二进制文件复制到 /usr/local/bin/，配置文件到 /etc/rkhunter.conf，日志存于 /var/log/rkhunter.log。
【注意】安装后必须立即执行 sudo rkhunter --propupd，否则首次扫描会把所有系统命令（如ls、ps）误报为被篡改——因为rkhunter需要以此刻的文件属性为“可信基线”。
方法二：跳过校验直接部署（应急排查用）
若服务器已明显失陷且无法联网更新，可从可信离线介质拷贝预编译二进制：sudo cp rkhunter /usr/local/bin/ && sudo chmod 755 /usr/local/bin/rkhunter，再手动创建空配置文件：sudo touch /etc/rkhunter.conf。此方式不推荐日常使用，因缺少数据库匹配能力。
初始化配置与数据库更新
运行 sudo rkhunter --update 强制拉取最新rootkit特征库，该操作需联网，超时或失败将导致大量已知后门无法识别。
立即执行 sudo rkhunter --propupd 建立本地文件属性快照。这一步必须在系统确认干净后首次运行，【不可在疑似入侵后补做】，否则快照本身已含恶意修改，后续扫描全部失效。
检查配置是否生效：sudo rkhunter --checkall --sk（--sk即--skip-keypress，静默扫描）。扫描过程约2–5分钟，最终输出“Warning”或“Alert”行即表示发现风险项。
