系统敏感目录排查清单：Linux、Windows 与 Android

用户和应用数据

• C:\Users\AppData：用户级数据和配置的核心位置，尤其是 LocalLow、Roaming，常被拿来做持久化。
• C:\Users\Documents、C:\Users\Desktop：最容易被忽略的落点。很多初始投递、诱饵文件，最后都会跑到这里。
• C:\Program Files、C:\Program Files (x86)：正规软件安装目录。这里有未授权程序，基本就该追安装源和变更链路了。

临时和缓存

• C:\Windows\Temp、C:\Users\AppData\Local\Temp：临时目录。载荷解压、脚本执行、日志缓存，常常都会在这里留下短命文件。
• C:\Windows\Prefetch：预取文件能帮你还原程序运行痕迹，尤其适合补时间线。
• C:\Windows\Installer：安装包和安装残留目录。它不显眼，但经常能补出安装行为和软件来源。

服务和计划任务

• C:\inetpub：IIS 默认目录，Web 文件都可能在这儿。
• C:\Windows\Tasks：计划任务目录。持续化、定时执行、隐蔽启动，很多都能落到这里。
• C:\Windows\Microsoft.NET\Framework：.NET 运行时目录，正常情况下比较稳定，异常变动值得多看两眼。

排查命令

PowerShell 可以先筛最近改动过的系统文件：

Get-ChildItem -Path C:\Windows\System32 -Recurse -ErrorAction SilentlyContinue | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) }

计划任务也别省略：

schtasks /query /fo LIST /v

Android

应用数据和系统配置

• /data：Android 最核心的数据区。应用数据、数据库、配置文件，基本都离不开它。
• /data/data/<package_name>：每个应用自己的私有目录。看应用是否被植入异常文件，先看这里最直接。
• /data/system：系统级配置和状态信息，权限、策略、系统属性都可能在这里。
• /data/app：已安装应用包的位置。包体异常、重打包、来源不明，通常都能在这里看出端倪。

外部存储和临时目录

• /sdcard 或 /storage/emulated/0：用户外部存储，下载、图片、文档都在这。攻击者也爱把东西放这里，因为访问门槛低。
• /mnt/sdcard：旧版本 Android 的挂载点，老设备或兼容场景里还会碰到。
• /data/local/tmp：临时目录，ADB 场景里尤其常见。测试工具、临时脚本、投递文件，都会往这里挤。

系统分区和库文件

• /system：系统分区，通常只读。它一旦能写，或者里面的文件有明显变化，问题就比较大了。
• /system/bin、/system/xbin：系统命令目录，root 环境下尤其要留意被替换或新增的工具。
• /system/etc：系统配置目录，网络配置和 hosts 文件是重点。
• /system/lib、/system/lib64：系统库目录。恶意库注入、替换系统库，都是常见思路。

特殊风险目录

• /data/adb/modules：Magisk 模块目录。做 root 相关排查时，这里往往绕不开，模块本身既可能是工具，也可能是入口。
• /data/anr：ANR 日志目录，里面的 traces.txt 对排查卡死和异常堆栈很有用。
• /data/misc：系统服务数据目录，Wi‑Fi、Bluetooth 等配置经常在这下面。
• /data/dalvik-cache：Dalvik 缓存目录。它更多是性能相关，但异常缓存和配套文件也能提供线索。

常用检查命令

先看临时目录和日志：

adb shell ls -la /data/local/tmp
adb logcat -d > logs.txt

再列一下已安装包：

adb shell pm list packages -f

监控时我更在意什么

只靠'有没有可疑文件'通常不够。真正有用的是把文件变动和行为串起来：谁创建的、什么时候改的、是不是对应着新进程、有没有计划任务或启动项配合。单独看一个目录，容易误报；把目录和进程、日志、任务计划放在一起看，判断会稳很多。

文件完整性检查适合做基线，比对哈希能快速发现改动；访问审计适合抓过程，Linux 用 Auditd，Windows 用 Sysmon；行为分析适合最后兜底，把'看起来正常但时机不对'的动作挑出来。工具上可以用 Tripwire、AIDE 这类做完整性核对，巡检脚本则负责把范围先缩小。

说到底，敏感目录不是拿来背的，是拿来形成习惯的。平时知道哪些地方正常，出事时才能很快判断哪里不对。