Este é um sistema RedHat Enterprise 5.5. Executei uma verificação em um RPM e parece que dois arquivos foram alterados:
# rpm --verify shadow-utils
S.5....T c /etc/default/useradd
S.5....T c /etc/login.defs
Eu tenho acesso ao RPM que originalmente instalou esses arquivos. Pode diferenciar esses arquivos alterados com a versão que está armazenada no RPM?
Você pode extrair o conteúdo do RPM para o disco (e não para / mas algum outro diretório). Eu uso mc para isso, onde você pode inserir um arquivo rpm como um diretório e extrair os arquivos que você precisa. Para extrair todo o RPM no diretório atual, você pode fazer algo como
rpm2cpio yourrpm.rpm | cpio -idmv