Verificação de arquivos alterados (como o Cheat Engine procura por endereços de memória alterados)

Question

Alguns anos atrás, quando eu ainda estava usando o Windows, usei uma ferramenta chamada "Cheat Engine" que permitia que você examinasse endereços de memória. Por exemplo, se você quisesse descobrir qual endereço armazenava a posição de uma janela, você faria:

• faça uma varredura inicial
• mova a janela
• filtrar todos os endereços que não foram alterados
• não mova a janela
• filtrar todos os endereços que mudaram
• mova a janela
• filtrar todos os endereços que não foram alterados
• ...

até você ficar com um único endereço. E esse seria o que continha a posição da janela.

Eu gostaria de fazer algo semelhante, mas no Linux e com arquivos em vez de endereços de memória.

Eu basicamente quero encontrar alguns arquivos de configuração que não estão documentados corretamente. Então, o que eu gostaria de fazer é:

• faça uma varredura inicial de todos os arquivos
• alterar uma configuração que modificaria meu arquivo de configuração de destino
• filtra todos os arquivos que não foram alterados
• não faça nada
• filtra todos os arquivos que foram alterados
• etc.

até que eu fique com apenas um arquivo. (O arquivo de configuração que eu estava procurando.)

Existe uma ferramenta para o Linux conseguir isso? Ou você sabe de uma maneira simples de fazer isso em bash, talvez?

    

Answer 1

O comando find pesquisará um caminho especificado (/ target_directory no exemplo abaixo) para arquivos (-type f) que foram alterados nos últimos dois minutos (-mmin -2) e, em seguida, usar ls para mostrar a você esses arquivos e detalhes sobre eles:

touch changes.txt
find /target_directory -type f -mmin -2 -exec ls -al {} \; >> changes.txt
time >> changes.txt
sleep 60
find /target_directory -type f -mmin -1 -exec ls -al {} \; >> changes.txt
less changes.txt

Acredito que executar uma maneira mais simples de ajudar a procurar por seus arquivos de configuração.

    

Answer 2

Você não precisa da varredura inicial dos arquivos. Basta criar um arquivo de timestamp. Então, depois de algum tempo, procure por arquivos que foram modificados após a criação do arquivo de timestamp.

touch timestamp

# time passes

find top-dir -type f -newer timestamp

Isso obviamente não captura arquivos que foram excluídos .