简介终端保密检查工具是一款面向Windows环境的安全保密检查工具适用于机关、部队或企事业单位开展终端违规自查与保密检查。工具聚焦敏感关键词扫描、补丁状态核查、USB使用记录与外接设备信息识别等常见检查项帮助保密管理人员快速排查终端风险无需额外安装复杂依赖。压缩包共包含9个文件整体约3.92MBexe为主程序入口多个DLL提供权限校验、文本抽取等底层能力XML文件保存扫描关键词与补丁匹配规则IDS文件则用于识别USB设备及视频信息目录结构简洁下载解压后即可按说明部署使用。截至目前该资源已有1009人浏览学习。用户可获得一套完整可直接运行的终端保密检查工具组件适用于保密自检、定期巡查与涉密设备风险排查等场景同时其配置文件的组织方式对后续自主开发类似保密检查脚本也具有一定的参考价值。 做终端保密检查这行最怕的不是系统里装了多少软件而是那些安安静静躺在硬盘角落里的 Zip 压缩包。干过这活儿的人都懂你辛辛苦苦用敏感词把整个C盘扫了一遍结果一份标密文件就藏在一个叫“素材.zip”的压缩包里直接绕过了检索。这几年我陆陆续续把手上的检查脚本、小工具、命令行整理成一个工具包每次进场检查就拷进U盘跑一遍后来干脆统一打包成“终端保密检查工具.zip”发给组里同事共用。这篇文章就把这套工具的定位、使用思路和踩过的坑一次说清楚适合刚接手保密检查或者在企业里做数据防泄漏自查的朋友参考。主要讲五块内容检查场景和工具定位、压缩包的麻烦在哪里、实际跑的完整流程、常见报错和排查技巧以及我自己的部署使用建议。都是实际操作过的经验不会跟你讲虚的。1. 终端保密检查到底在查什么工具包的定位1.1 三个典型检查场景终端保密检查不是漫无目的地翻电脑一般就三种情况。第一种是涉密载体和办公终端的例行保密检查重点看有没有违反规定存储标密文件、内部敏感资料。第二种是员工离职前的终端审计在归还电脑前确认里面有没有拷贝业务数据、客户资料。第三种是合规自查配合等保或行业监管要求评估终端数据安全状态。这三种场景有一个共同点时间紧、机器多、数据量大。一个部门几十台电脑一台机器几百G硬盘靠人工一个个文件夹点开看不现实。所以工具包的第一诉求不是“扫描得有多深”而是“先能快速把可疑目标圈出来”。1.2 工具包四大能力模块我整理的这套终端保密检查工具核心就四个能力全盘文件扫描、压缩包专项处理、内容匹配与哈希比对、结果留痕与报表导出。全盘文件扫描相对简单按文件名后缀、文件创建时间、路径特征等维度做初步筛选。压缩包专项处理是重头戏要能批量解压、递归解压、识别加密压缩包。内容匹配则是把解压出来的文件做关键字检索比如“机密”“内部资料”“客户名单”这类词再配合哈希值比对来确认是否命中已知的敏感文件库。最后所有结果要生成一条条可追溯的记录毕竟保密检查是要留痕、要能交代的。工具包的定位说白了就是“检查辅助”不是拿来做深度取证。保密检查追求的是把可疑点揪出来至于后续要不要做司法鉴定、数据恢复那是另外一套技术栈的事。2. 为什么压缩包是保密检查的“硬骨头”2.1 压缩包的“藏东西”方式如果你检查过足够多的终端会发现靠压缩包隐藏敏感文件的方式花样很多。最蠢的是直接建一个“新建文件夹.zip”把涉密文件往里一扔这种属于没动脑子的。稍微聪明点的会改后缀把一个zip文件改成jpg或doc骗过不看内容的人。再进阶一点就是把文件嵌套好几层压缩包外面一层zip里面一层rar再里面是7z扫描工具不递归解压的话根本看不见。还有一种常见情况是分卷压缩拆成一堆z01、z02、zip文件。如果只考到一半或者工作人员拷文件时漏了后面几个分卷检查时就会遇到“明明有个压缩包但打不开”的情况。这时候很多人就放弃了但我后面会讲怎么处理。加密也是个大问题。尤其是一些员工知道单位在查就把敏感文件用WinRAR或7-Zip打了密码以为这样查不出来。实际上加密压缩包恰恰是保密检查里最需要留意的目标因为正常使用电脑的人很少会把压缩包加上密码。2.2 常规扫描为什么会失效大多数终端扫描软件的敏感词检索本质上是对磁盘上的明文内容做字符串匹配。压缩包内部的文件是经过压缩编码的不是原始文本所以普通的关键字扫描根本读不到里面的内容。这就好比你要在一堆快递箱子里找违禁品但安检机只扫描箱子外层的贴纸那肯定没用。另一个原因是文件系统本身对压缩包是“一视同仁”的从操作系统角度zip就是一个普通文件不会自动解压给你看内容。所以检查工具必须主动把压缩包当作独立对象去展开递归处理每一层才能把藏在里面的东西暴露出来。2.3 工具链选型为什么是 7-Zip Python工具包里我主用的就是两个核心7-Zip的命令行版本7z.exe和Python 3。7-Zip支持几十种压缩格式包括zip、rar、7z、tar、gz甚至ISO镜像一条命令就能安静地解压不用弹图形界面方便脚本批量调用。Python则负责写扫描逻辑、调用命令、处理结果、生成报告。为什么不用WinRAR的命令行不是不行但WinRAR是商业软件授权和分发都有问题。7-Zip开源免费装在检查U盘里随便拷不用担心给单位惹授权麻烦。而且7z命令行参数简单7z x -y -o目录 archive.zip就完事了脚本里拼接字符串很方便。Python的选择没有太多悬念第三方库多、跨平台遇到特殊情况随时写几行代码应急。比如zipfile模块可以直接处理zip文件遇到畸形zip也能捕获异常继续跑不会整个流程中断。3. 实操让我带你跑一遍完整检查流程3.1 第一步把压缩包“摊开”——收集、分卷合并、递归解压正式检查之前我会先把目标机器上所有压缩包文件收集起来命令很简单dir /s /b *.zip *.rar *.7z 2nul all_archives.txt在PowerShell里也可以一条命令搞定Get-ChildItem -Path C:\ -Recurse -Include *.zip,*.rar,*.7z -ErrorAction SilentlyContinue | Select-Object -ExpandProperty FullName | Out-File all_archives.txt拿到清单之后我先按文件大小排个序筛掉体积实在太小、明显没内容的。重点关注大小在几KB到几十MB之间、压缩比特别夸张的文件尤其是照片目录或临时目录里出现的高压缩比压缩包。分卷压缩包的处理要排在最前面。比如遇到一个文件叫backup.z01通常说明它是分卷压缩的一部分需要把所有分卷凑齐再合并。Windows下可以直接用copy命令按二进制合并copy /b backup.z01 backup.z02 backup.zip merged_backup.zip注意顺序必须是z01、z02、最后是zip不能乱。合并完再解压。如果缺了某个分卷那就先记录这个压缩包路径和缺失文件标记为“需要人工跟进”因为很有可能是有人故意删掉了一部分或者传输过程中丢失了。递归解压是核心。很多检查工具只解一层遇到嵌套压缩包就无计可施了。我写了一个简单的Python脚本用7z命令行不断解压直到找不到新的压缩包为止import os import subprocess import re SEVEN_ZIP rC:\tools\7z.exe WORK_DIR rC:\check_temp def extract_recursive(path): while True: archives [] for root, dirs, files in os.walk(path): for f in files: if f.lower().endswith((.zip, .rar, .7z, .tar, .gz)): archives.append(os.path.join(root, f)) if not archives: break for archive in archives: out_dir archive _extracted os.makedirs(out_dir, exist_okTrue) subprocess.run([SEVEN_ZIP, x, -y, f-o{out_dir}, archive], stdoutsubprocess.DEVNULL, stderrsubprocess.DEVNULL) os.remove(archive)这个脚本的思路很直接每轮扫描目录下的压缩包解压后删除原压缩包直到目录里再也找不到压缩包为止。实际检查中我会限制递归层数和解压文件总大小防止有人故意构造“压缩包炸弹”把磁盘撑爆。一般设10层、解压总大小不超过2GB就够用了。3.2 第二步加密压缩包怎么办——弱口令识别与密码恢复碰到加密压缩包第一件事不是盲目猜密码而是先确认它是不是真的加密。有时候只是压缩包有注释或者文件头异常并不是密码保护。用7z测试一下就知道7z t -p123 encrypted.zip如果提示Wrong password那就是真的加密了。在保密检查场景下处理加密压缩包必须注意边界只能用于本单位或本人有管理权限的终端检查不能对无关第三方进行解锁操作。检查时通常用字典尝试常见弱口令比如123456、admin、password、单位名称缩写、员工工号等。工具选的是hashcat或John the Ripper配合zip2john工具提取hash。以John为例zip2john encrypted.zip encrypted_hash.txt john --wordlistpasswords.txt encrypted_hash.txt如果跑出来就直接拿到明文密码就可以继续解压检查。跑不出来的记录下压缩包路径、哈希值、异常情况作为重点线索交人工处理。不要在现场花几个小时去爆破不划算而且容易打草惊蛇。这里要给你提个醒很多教程推荐的“ zip 无视密码直接解压”工具本质上不是真正的破解而是利用某些zip实现中的漏洞适用范围很窄而且现在主流压缩软件早把这类漏洞堵上了。真正要检查加密包老老实实用John/hashcat配字典或者按单位应急预案处理。3.3 第三步内容排查——关键字、类型、哈希逐一过解压完成之后所有文件都摊在了工作目录里这时候才轮到内容级排查。我会先用Python脚本把所有文件按扩展名归个类重点关注这些后缀doc/docx、xls/xlsx、ppt/pptx、pdf、txt、csv、eml等这些是文档和邮件最常见的载体。如果解压出来一堆exe、dll、scr那说明这个压缩包可能不是普通的资料打包要另案处理。关键字扫描就用最朴素的字符串匹配把文本类文件读进来逐行检索敏感词。Python的re模块就够了import os import re KEYWORDS [机密, 内部资料, 客户名单, 合同, 保密, 密码表, 工资] for root, dirs, files in os.walk(WORK_DIR): for f in files: if f.lower().endswith((.txt, .csv, .doc, .docx)): path os.path.join(root, f) try: with open(path, r, encodingutf-8, errorsignore) as fp: content fp.read() for kw in KEYWORDS: if re.search(kw, content): print(f[命中] {path} {kw}) except Exception: passdocx这种实际上是zip格式的Office文档不能用open直接读文本需要先用7z把docx再解压一次读取里面的word/document.xml文件再匹配。别嫌麻烦很多敏感信息就藏在这些复合格式文档里。哈希比对也要做。如果你手头有一份已知敏感文件的哈希库比如从保密系统中导出的标密文件哈希就可以对所有解压出来的文件算MD5或SHA1直接比对。这一步对“同一个文件被改名换后缀”的情况特别有效比靠关键词可靠得多。3.4 第四步输出可追溯的检查记录检查结果不能光在屏幕上滚一遍必须留痕。我的做法是让所有命中的记录都追加到一个CSV文件里字段包括检查时间、主机名、压缩包路径、解压后路径、文件名、命中类型、具体命中内容、处理结果。这样不管后续是出报告还是复核都有据可查。import csv with open(check_result.csv, w, newline, encodingutf-8-sig) as csvfile: writer csv.writer(csvfile) writer.writerow([时间, 主机名, 压缩包路径, 文件路径, 文件名, 命中类型, 命中内容, 处理结果]) # 循环里不断 writer.writerow(...)用utf-8-sig编码是为了让Excel直接打开不乱码。检查结束后这个CSV文件和压缩包清单、异常记录一起打包作为本次检查的过程记录归档。4. 常见问题与排查技巧实录4.1 解压报错 invalid zip archive: could not find EOCD这条报错在终端检查里太常见了。EOCD是zip格式的结尾记录找不到它说明这个zip文件是不完整的或者被改过结构。常见原因有两个一是文件通过U盘或IM传输时被截断二是有人把zip文件头改了伪装成其他类型导致工具不认。处理方式先看文件大小如果是几十KB的“小zip”大概率是截断如果文件很大但报这个错可以试试用7z t测试看它能不能识别里面的内容。实在不行用zip -FF damaged.zip --out repaired.zip尝试修复。修复不出来就标记异常不要在这种文件上耗太多时间。4.2 中文文件名乱码压缩包里的中文文件名在部分zip工具下会出现乱码原因是压缩时用了GBK编码而Python的zipfile默认按UTF-8解码。解决方案有几种一个是7-Zip命令行解压时指定-scsGBK或者Python读取时手动用cp437或gbk去猜。乱码本身不影响内容检查但会影响报告里的路径可读性如果遇到大量乱码优先用7-Zip的图形界面解压看看再决定要不要调整参数。4.3 z01文件没有zip怎么办这是分卷压缩的典型问题网上问的人很多。z01只是第一个分卷通常后面跟的是z02、z03……最后一个是zip文件。你如果只拿到z01肯定解压不了。检查场景下先去同目录找找有没有其他分卷再考虑是不是有人故意只复制了一部分到终端里。如果真找不到完整分卷记录异常路径等后续管制或人工调查。4.4 误报与漏网的取舍关键字扫描必然有误报。比如“合同”这个词在正规的合同文档里出现是正常的不一定是泄密。所以我的原则是先记录不处置人工复核。检查工具只负责定位可疑目标最终判定权在人不在机器。千万不要在检查现场就删文件或者上报告说抓到了“内部资料”等你复核完变成业务文档反而被动。漏网问题也值得说。压缩包里的图片、音视频文件关键字扫描发挥不了作用这时候就得靠文件名、哈希比对、以及文件签名识别。我也会额外关注那些改名成jpg、png的压缩包用文件头去判断实际格式。zip文件头是PKjpg是FF D8 FF一测一个准。5. 工具包部署与使用建议5.1 检查U盘怎么准备我习惯准备一个专门的检查U盘只放工具和空报告目录不放任何业务数据。U盘格式用NTFS因为要放超过4GB的临时解压文件。7-Zip便携版直接放根目录Python尽量用embed版避免在目标机器上安装东西。工具包整个打好压缩包之后记得计算并记录SHA256值。一方面确保拷贝过程中没被篡改另一方面后续更新版本也能对比。5.2 不要忽略压缩包的时间和路径特征检查时我会额外看一眼压缩包的创建时间和所在目录。比如一个存放在“C:\Users\user\AppData\Roaming\”下的zip文件创建时间是凌晨三点这种本身就极其可疑。再比如文件名和目录完全不搭的比如在“图片收藏”目录下放一个“开发文档.zip”那更是重点对象。机器不会说谎但人的习惯往往会在路径和时间上留下刺眼的违和感。5.3 给脚本留好扩展位不同单位的敏感词表、文件后缀名单、哈希库都不一样所以我的脚本里把字典和关键词都放到单独的文本文件每次检查前按需修改。比如涉密单位重点查“绝密”“机密”金融企业查“客户身份证”“交易流水”外包公司查“源码”“数据库连接串”。工具是死的检查思路是活的。另外正式执行批量扫描前一定先在一台测试机或者自己电脑上跑一遍流程确认解压路径、报告输出都正常。有一回我在现场忘了改工作目录脚本把几百个压缩包全解压到C盘根目录了弄得到处都是临时文件夹收拾了半天。这种低级错误一次就够了。这套流程跑了两年多最大的体会是工具只是辅助真正值钱的是检查思路。压缩包问题尤其需要耐心每次检查我都会先跑一遍“压缩包画像”把所有zip按体积和压缩比排个序往往高压缩比的小文件才是最值得看的。如果你也负责终端保密检查不用急着照搬我的脚本先按你们单位的数据特点把关键词表和字典改一改工具顺手比功能多更重要。检查这行说到底比的是细致和稳妥多留一分痕迹少惹一分麻烦。本文还有配套的精品资源点击获取 终端保密检查工具实战：压缩包扫描与递归解压全流程解析
简介终端保密检查工具是一款面向Windows环境的安全保密检查工具适用于机关、部队或企事业单位开展终端违规自查与保密检查。工具聚焦敏感关键词扫描、补丁状态核查、USB使用记录与外接设备信息识别等常见检查项帮助保密管理人员快速排查终端风险无需额外安装复杂依赖。压缩包共包含9个文件整体约3.92MBexe为主程序入口多个DLL提供权限校验、文本抽取等底层能力XML文件保存扫描关键词与补丁匹配规则IDS文件则用于识别USB设备及视频信息目录结构简洁下载解压后即可按说明部署使用。截至目前该资源已有1009人浏览学习。用户可获得一套完整可直接运行的终端保密检查工具组件适用于保密自检、定期巡查与涉密设备风险排查等场景同时其配置文件的组织方式对后续自主开发类似保密检查脚本也具有一定的参考价值。 做终端保密检查这行最怕的不是系统里装了多少软件而是那些安安静静躺在硬盘角落里的 Zip 压缩包。干过这活儿的人都懂你辛辛苦苦用敏感词把整个C盘扫了一遍结果一份标密文件就藏在一个叫“素材.zip”的压缩包里直接绕过了检索。这几年我陆陆续续把手上的检查脚本、小工具、命令行整理成一个工具包每次进场检查就拷进U盘跑一遍后来干脆统一打包成“终端保密检查工具.zip”发给组里同事共用。这篇文章就把这套工具的定位、使用思路和踩过的坑一次说清楚适合刚接手保密检查或者在企业里做数据防泄漏自查的朋友参考。主要讲五块内容检查场景和工具定位、压缩包的麻烦在哪里、实际跑的完整流程、常见报错和排查技巧以及我自己的部署使用建议。都是实际操作过的经验不会跟你讲虚的。1. 终端保密检查到底在查什么工具包的定位1.1 三个典型检查场景终端保密检查不是漫无目的地翻电脑一般就三种情况。第一种是涉密载体和办公终端的例行保密检查重点看有没有违反规定存储标密文件、内部敏感资料。第二种是员工离职前的终端审计在归还电脑前确认里面有没有拷贝业务数据、客户资料。第三种是合规自查配合等保或行业监管要求评估终端数据安全状态。这三种场景有一个共同点时间紧、机器多、数据量大。一个部门几十台电脑一台机器几百G硬盘靠人工一个个文件夹点开看不现实。所以工具包的第一诉求不是“扫描得有多深”而是“先能快速把可疑目标圈出来”。1.2 工具包四大能力模块我整理的这套终端保密检查工具核心就四个能力全盘文件扫描、压缩包专项处理、内容匹配与哈希比对、结果留痕与报表导出。全盘文件扫描相对简单按文件名后缀、文件创建时间、路径特征等维度做初步筛选。压缩包专项处理是重头戏要能批量解压、递归解压、识别加密压缩包。内容匹配则是把解压出来的文件做关键字检索比如“机密”“内部资料”“客户名单”这类词再配合哈希值比对来确认是否命中已知的敏感文件库。最后所有结果要生成一条条可追溯的记录毕竟保密检查是要留痕、要能交代的。工具包的定位说白了就是“检查辅助”不是拿来做深度取证。保密检查追求的是把可疑点揪出来至于后续要不要做司法鉴定、数据恢复那是另外一套技术栈的事。2. 为什么压缩包是保密检查的“硬骨头”2.1 压缩包的“藏东西”方式如果你检查过足够多的终端会发现靠压缩包隐藏敏感文件的方式花样很多。最蠢的是直接建一个“新建文件夹.zip”把涉密文件往里一扔这种属于没动脑子的。稍微聪明点的会改后缀把一个zip文件改成jpg或doc骗过不看内容的人。再进阶一点就是把文件嵌套好几层压缩包外面一层zip里面一层rar再里面是7z扫描工具不递归解压的话根本看不见。还有一种常见情况是分卷压缩拆成一堆z01、z02、zip文件。如果只考到一半或者工作人员拷文件时漏了后面几个分卷检查时就会遇到“明明有个压缩包但打不开”的情况。这时候很多人就放弃了但我后面会讲怎么处理。加密也是个大问题。尤其是一些员工知道单位在查就把敏感文件用WinRAR或7-Zip打了密码以为这样查不出来。实际上加密压缩包恰恰是保密检查里最需要留意的目标因为正常使用电脑的人很少会把压缩包加上密码。2.2 常规扫描为什么会失效大多数终端扫描软件的敏感词检索本质上是对磁盘上的明文内容做字符串匹配。压缩包内部的文件是经过压缩编码的不是原始文本所以普通的关键字扫描根本读不到里面的内容。这就好比你要在一堆快递箱子里找违禁品但安检机只扫描箱子外层的贴纸那肯定没用。另一个原因是文件系统本身对压缩包是“一视同仁”的从操作系统角度zip就是一个普通文件不会自动解压给你看内容。所以检查工具必须主动把压缩包当作独立对象去展开递归处理每一层才能把藏在里面的东西暴露出来。2.3 工具链选型为什么是 7-Zip Python工具包里我主用的就是两个核心7-Zip的命令行版本7z.exe和Python 3。7-Zip支持几十种压缩格式包括zip、rar、7z、tar、gz甚至ISO镜像一条命令就能安静地解压不用弹图形界面方便脚本批量调用。Python则负责写扫描逻辑、调用命令、处理结果、生成报告。为什么不用WinRAR的命令行不是不行但WinRAR是商业软件授权和分发都有问题。7-Zip开源免费装在检查U盘里随便拷不用担心给单位惹授权麻烦。而且7z命令行参数简单7z x -y -o目录 archive.zip就完事了脚本里拼接字符串很方便。Python的选择没有太多悬念第三方库多、跨平台遇到特殊情况随时写几行代码应急。比如zipfile模块可以直接处理zip文件遇到畸形zip也能捕获异常继续跑不会整个流程中断。3. 实操让我带你跑一遍完整检查流程3.1 第一步把压缩包“摊开”——收集、分卷合并、递归解压正式检查之前我会先把目标机器上所有压缩包文件收集起来命令很简单dir /s /b *.zip *.rar *.7z 2nul all_archives.txt在PowerShell里也可以一条命令搞定Get-ChildItem -Path C:\ -Recurse -Include *.zip,*.rar,*.7z -ErrorAction SilentlyContinue | Select-Object -ExpandProperty FullName | Out-File all_archives.txt拿到清单之后我先按文件大小排个序筛掉体积实在太小、明显没内容的。重点关注大小在几KB到几十MB之间、压缩比特别夸张的文件尤其是照片目录或临时目录里出现的高压缩比压缩包。分卷压缩包的处理要排在最前面。比如遇到一个文件叫backup.z01通常说明它是分卷压缩的一部分需要把所有分卷凑齐再合并。Windows下可以直接用copy命令按二进制合并copy /b backup.z01 backup.z02 backup.zip merged_backup.zip注意顺序必须是z01、z02、最后是zip不能乱。合并完再解压。如果缺了某个分卷那就先记录这个压缩包路径和缺失文件标记为“需要人工跟进”因为很有可能是有人故意删掉了一部分或者传输过程中丢失了。递归解压是核心。很多检查工具只解一层遇到嵌套压缩包就无计可施了。我写了一个简单的Python脚本用7z命令行不断解压直到找不到新的压缩包为止import os import subprocess import re SEVEN_ZIP rC:\tools\7z.exe WORK_DIR rC:\check_temp def extract_recursive(path): while True: archives [] for root, dirs, files in os.walk(path): for f in files: if f.lower().endswith((.zip, .rar, .7z, .tar, .gz)): archives.append(os.path.join(root, f)) if not archives: break for archive in archives: out_dir archive _extracted os.makedirs(out_dir, exist_okTrue) subprocess.run([SEVEN_ZIP, x, -y, f-o{out_dir}, archive], stdoutsubprocess.DEVNULL, stderrsubprocess.DEVNULL) os.remove(archive)这个脚本的思路很直接每轮扫描目录下的压缩包解压后删除原压缩包直到目录里再也找不到压缩包为止。实际检查中我会限制递归层数和解压文件总大小防止有人故意构造“压缩包炸弹”把磁盘撑爆。一般设10层、解压总大小不超过2GB就够用了。3.2 第二步加密压缩包怎么办——弱口令识别与密码恢复碰到加密压缩包第一件事不是盲目猜密码而是先确认它是不是真的加密。有时候只是压缩包有注释或者文件头异常并不是密码保护。用7z测试一下就知道7z t -p123 encrypted.zip如果提示Wrong password那就是真的加密了。在保密检查场景下处理加密压缩包必须注意边界只能用于本单位或本人有管理权限的终端检查不能对无关第三方进行解锁操作。检查时通常用字典尝试常见弱口令比如123456、admin、password、单位名称缩写、员工工号等。工具选的是hashcat或John the Ripper配合zip2john工具提取hash。以John为例zip2john encrypted.zip encrypted_hash.txt john --wordlistpasswords.txt encrypted_hash.txt如果跑出来就直接拿到明文密码就可以继续解压检查。跑不出来的记录下压缩包路径、哈希值、异常情况作为重点线索交人工处理。不要在现场花几个小时去爆破不划算而且容易打草惊蛇。这里要给你提个醒很多教程推荐的“ zip 无视密码直接解压”工具本质上不是真正的破解而是利用某些zip实现中的漏洞适用范围很窄而且现在主流压缩软件早把这类漏洞堵上了。真正要检查加密包老老实实用John/hashcat配字典或者按单位应急预案处理。3.3 第三步内容排查——关键字、类型、哈希逐一过解压完成之后所有文件都摊在了工作目录里这时候才轮到内容级排查。我会先用Python脚本把所有文件按扩展名归个类重点关注这些后缀doc/docx、xls/xlsx、ppt/pptx、pdf、txt、csv、eml等这些是文档和邮件最常见的载体。如果解压出来一堆exe、dll、scr那说明这个压缩包可能不是普通的资料打包要另案处理。关键字扫描就用最朴素的字符串匹配把文本类文件读进来逐行检索敏感词。Python的re模块就够了import os import re KEYWORDS [机密, 内部资料, 客户名单, 合同, 保密, 密码表, 工资] for root, dirs, files in os.walk(WORK_DIR): for f in files: if f.lower().endswith((.txt, .csv, .doc, .docx)): path os.path.join(root, f) try: with open(path, r, encodingutf-8, errorsignore) as fp: content fp.read() for kw in KEYWORDS: if re.search(kw, content): print(f[命中] {path} {kw}) except Exception: passdocx这种实际上是zip格式的Office文档不能用open直接读文本需要先用7z把docx再解压一次读取里面的word/document.xml文件再匹配。别嫌麻烦很多敏感信息就藏在这些复合格式文档里。哈希比对也要做。如果你手头有一份已知敏感文件的哈希库比如从保密系统中导出的标密文件哈希就可以对所有解压出来的文件算MD5或SHA1直接比对。这一步对“同一个文件被改名换后缀”的情况特别有效比靠关键词可靠得多。3.4 第四步输出可追溯的检查记录检查结果不能光在屏幕上滚一遍必须留痕。我的做法是让所有命中的记录都追加到一个CSV文件里字段包括检查时间、主机名、压缩包路径、解压后路径、文件名、命中类型、具体命中内容、处理结果。这样不管后续是出报告还是复核都有据可查。import csv with open(check_result.csv, w, newline, encodingutf-8-sig) as csvfile: writer csv.writer(csvfile) writer.writerow([时间, 主机名, 压缩包路径, 文件路径, 文件名, 命中类型, 命中内容, 处理结果]) # 循环里不断 writer.writerow(...)用utf-8-sig编码是为了让Excel直接打开不乱码。检查结束后这个CSV文件和压缩包清单、异常记录一起打包作为本次检查的过程记录归档。4. 常见问题与排查技巧实录4.1 解压报错 invalid zip archive: could not find EOCD这条报错在终端检查里太常见了。EOCD是zip格式的结尾记录找不到它说明这个zip文件是不完整的或者被改过结构。常见原因有两个一是文件通过U盘或IM传输时被截断二是有人把zip文件头改了伪装成其他类型导致工具不认。处理方式先看文件大小如果是几十KB的“小zip”大概率是截断如果文件很大但报这个错可以试试用7z t测试看它能不能识别里面的内容。实在不行用zip -FF damaged.zip --out repaired.zip尝试修复。修复不出来就标记异常不要在这种文件上耗太多时间。4.2 中文文件名乱码压缩包里的中文文件名在部分zip工具下会出现乱码原因是压缩时用了GBK编码而Python的zipfile默认按UTF-8解码。解决方案有几种一个是7-Zip命令行解压时指定-scsGBK或者Python读取时手动用cp437或gbk去猜。乱码本身不影响内容检查但会影响报告里的路径可读性如果遇到大量乱码优先用7-Zip的图形界面解压看看再决定要不要调整参数。4.3 z01文件没有zip怎么办这是分卷压缩的典型问题网上问的人很多。z01只是第一个分卷通常后面跟的是z02、z03……最后一个是zip文件。你如果只拿到z01肯定解压不了。检查场景下先去同目录找找有没有其他分卷再考虑是不是有人故意只复制了一部分到终端里。如果真找不到完整分卷记录异常路径等后续管制或人工调查。4.4 误报与漏网的取舍关键字扫描必然有误报。比如“合同”这个词在正规的合同文档里出现是正常的不一定是泄密。所以我的原则是先记录不处置人工复核。检查工具只负责定位可疑目标最终判定权在人不在机器。千万不要在检查现场就删文件或者上报告说抓到了“内部资料”等你复核完变成业务文档反而被动。漏网问题也值得说。压缩包里的图片、音视频文件关键字扫描发挥不了作用这时候就得靠文件名、哈希比对、以及文件签名识别。我也会额外关注那些改名成jpg、png的压缩包用文件头去判断实际格式。zip文件头是PKjpg是FF D8 FF一测一个准。5. 工具包部署与使用建议5.1 检查U盘怎么准备我习惯准备一个专门的检查U盘只放工具和空报告目录不放任何业务数据。U盘格式用NTFS因为要放超过4GB的临时解压文件。7-Zip便携版直接放根目录Python尽量用embed版避免在目标机器上安装东西。工具包整个打好压缩包之后记得计算并记录SHA256值。一方面确保拷贝过程中没被篡改另一方面后续更新版本也能对比。5.2 不要忽略压缩包的时间和路径特征检查时我会额外看一眼压缩包的创建时间和所在目录。比如一个存放在“C:\Users\user\AppData\Roaming\”下的zip文件创建时间是凌晨三点这种本身就极其可疑。再比如文件名和目录完全不搭的比如在“图片收藏”目录下放一个“开发文档.zip”那更是重点对象。机器不会说谎但人的习惯往往会在路径和时间上留下刺眼的违和感。5.3 给脚本留好扩展位不同单位的敏感词表、文件后缀名单、哈希库都不一样所以我的脚本里把字典和关键词都放到单独的文本文件每次检查前按需修改。比如涉密单位重点查“绝密”“机密”金融企业查“客户身份证”“交易流水”外包公司查“源码”“数据库连接串”。工具是死的检查思路是活的。另外正式执行批量扫描前一定先在一台测试机或者自己电脑上跑一遍流程确认解压路径、报告输出都正常。有一回我在现场忘了改工作目录脚本把几百个压缩包全解压到C盘根目录了弄得到处都是临时文件夹收拾了半天。这种低级错误一次就够了。这套流程跑了两年多最大的体会是工具只是辅助真正值钱的是检查思路。压缩包问题尤其需要耐心每次检查我都会先跑一遍“压缩包画像”把所有zip按体积和压缩比排个序往往高压缩比的小文件才是最值得看的。如果你也负责终端保密检查不用急着照搬我的脚本先按你们单位的数据特点把关键词表和字典改一改工具顺手比功能多更重要。检查这行说到底比的是细致和稳妥多留一分痕迹少惹一分麻烦。本文还有配套的精品资源点击获取