Итак, меня ударил скрипт-кит ... К счастью, это Ubuntu, и я смог заменить бинарные файлы из сопоставимой системы, тем не мение,
Некоторые файлы мне не удалось удалить, и я до сих пор в тупике. Похищенные файлы хранятся в /_bin
каталог, доступный для записи корень.
nathan@db-0:~$ ls -ld !$
ls -ld /_bin
drwxr-xr-x 2 root root 4096 Mar 12 18:00 /_bin
Хорошо, это перма в каталоге, теперь для файлов внутри:
nathan@db-0:~$ ls -l /_bin
total 268
-rwxr-xr-x 1 root root 39696 Nov 19 22:25 ls
-rwxr-xr-x 1 root root 119800 Mar 31 2012 netstat
-rwxr-xr-x 1 root root 101240 Dec 12 2011 ps
Теперь, когда я пытаюсь удалить один из этих файлов (как root):
root@db-0:/home/nathan# rm /_bin/ls
rm: cannot remove `/_bin/ls': Operation not permitted
Или если я попытаюсь удалить все _bin
каталог (снова как root):
root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted
Итак, как я могу удалить эти файлы?
Редактировать:
Конечно, неизменяемый бит был установлен, однако его удаление не позволяет мне удалять файлы.
root@db-0:/home/nathan# lsattr /_bin
s---ia--------- /_bin/ls
s---ia--------- /_bin/netstat
s---ia--------- /_bin/ps
root@db-0:/home/nathan# chattr -R -i /_bin
root@db-0:/home/nathan# lsattr /_bin
s----a--------- /_bin/ls
s----a--------- /_bin/netstat
s----a--------- /_bin/ps
root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted
Также проверено /_bin
не имеет неизменяемого бита:
root@db-0:/home/nathan# lsattr -d /_bin
--------------- /_bin
Скорее всего, злоумышленник установил неизменяемый атрибут для файлов и каталога. Обычно это делается с помощью руткитов, чтобы затруднить очистку.
Чтобы подтвердить это, попробуйте:
lsattr /_bin
Чтобы удалить неизменяемый атрибут, используйте:
chattr -R -i /_bin
Вы также захотите очистить a
и s
атрибуты, так как они могут повлиять на вашу способность удалять файлы.
chattr -R -i -a -s /_bin
Увидеть chattr
справочную страницу для полного объяснения того, что такое все атрибуты и что они делают.
Похоже, липкий кусочек все еще там.
chmod -t /_bin