Назад | Перейти на главную страницу

Не удается удалить поврежденные файлы в Linux

Итак, меня ударил скрипт-кит ... К счастью, это Ubuntu, и я смог заменить бинарные файлы из сопоставимой системы, тем не мение,

Некоторые файлы мне не удалось удалить, и я до сих пор в тупике. Похищенные файлы хранятся в /_bin каталог, доступный для записи корень.

nathan@db-0:~$ ls -ld !$
ls -ld /_bin
drwxr-xr-x 2 root root 4096 Mar 12 18:00 /_bin

Хорошо, это перма в каталоге, теперь для файлов внутри:

nathan@db-0:~$ ls -l /_bin
total 268
-rwxr-xr-x 1 root root  39696 Nov 19 22:25 ls
-rwxr-xr-x 1 root root 119800 Mar 31  2012 netstat
-rwxr-xr-x 1 root root 101240 Dec 12  2011 ps

Теперь, когда я пытаюсь удалить один из этих файлов (как root):

root@db-0:/home/nathan# rm /_bin/ls
rm: cannot remove `/_bin/ls': Operation not permitted

Или если я попытаюсь удалить все _bin каталог (снова как root):

root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted

Итак, как я могу удалить эти файлы?

Редактировать:

Конечно, неизменяемый бит был установлен, однако его удаление не позволяет мне удалять файлы.

root@db-0:/home/nathan# lsattr /_bin
s---ia--------- /_bin/ls
s---ia--------- /_bin/netstat
s---ia--------- /_bin/ps

root@db-0:/home/nathan# chattr -R -i /_bin
root@db-0:/home/nathan# lsattr /_bin
s----a--------- /_bin/ls
s----a--------- /_bin/netstat
s----a--------- /_bin/ps

root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted

Также проверено /_bin не имеет неизменяемого бита:

root@db-0:/home/nathan# lsattr -d /_bin
--------------- /_bin

Скорее всего, злоумышленник установил неизменяемый атрибут для файлов и каталога. Обычно это делается с помощью руткитов, чтобы затруднить очистку.

Чтобы подтвердить это, попробуйте:

lsattr /_bin

Чтобы удалить неизменяемый атрибут, используйте:

chattr -R -i /_bin

Вы также захотите очистить a и s атрибуты, так как они могут повлиять на вашу способность удалять файлы.

chattr -R -i -a -s /_bin

Увидеть chattr справочную страницу для полного объяснения того, что такое все атрибуты и что они делают.

Похоже, липкий кусочек все еще там.

chmod -t /_bin