Не могу удалить поврежденные файлы в Linux

Таким образом, меня поразил сценарий Kitte... К счастью, это Ubuntu, и он смог заменить w/ binaries из сопоставимой системы, однако

Некоторые из файлов, которые я не смог удалить, до сих пор не найдены. Похищенные файлы сидят в /_bin каталог, который доступен для записи пользователю root.

nathan@db-0:~$ ls -ld !$
ls -ld /_bin
drwxr-xr-x 2 root root 4096 Mar 12 18:00 /_bin

Хорошо, это права доступа к каталогу, теперь для файлов внутри:

nathan@db-0:~$ ls -l /_bin
total 268
-rwxr-xr-x 1 root root  39696 Nov 19 22:25 ls
-rwxr-xr-x 1 root root 119800 Mar 31  2012 netstat
-rwxr-xr-x 1 root root 101240 Dec 12  2011 ps

Теперь, когда я пытаюсь удалить один из этих файлов (как root):

root@db-0:/home/nathan# rm /_bin/ls
rm: cannot remove `/_bin/ls': Operation not permitted

Или если я попытаюсь удалить весь _bin каталог (опять как root):

root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted

Итак, как я могу удалить эти файлы?

Редактировать:

Конечно, установлен неизменный бит, однако удаление его не позволяет удалить файлы.

root@db-0:/home/nathan# lsattr /_bin
s---ia--------- /_bin/ls
s---ia--------- /_bin/netstat
s---ia--------- /_bin/ps

root@db-0:/home/nathan# chattr -R -i /_bin
root@db-0:/home/nathan# lsattr /_bin
s----a--------- /_bin/ls
s----a--------- /_bin/netstat
s----a--------- /_bin/ps

root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted

Также проверено /_bin не имеет неизменного бита:

root@db-0:/home/nathan# lsattr -d /_bin
--------------- /_bin

2 ответа

Решение

Скорее всего, злоумышленник установил неизменный атрибут для файлов и каталога. Обычно это делается руткитами, чтобы сделать очистку более сложной.

Чтобы подтвердить это, попробуйте:

lsattr /_bin

Чтобы удалить неизменный атрибут, используйте:

chattr -R -i /_bin

Вы также хотите очистить a а также s атрибуты, так как они могут повлиять на вашу способность удалять файлы.

chattr -R -i -a -s /_bin

Увидеть chattr Страница man для полного объяснения того, что все атрибуты и что они делают.

Похоже, липкий бит все еще там.

chmod -t /_bin
Другие вопросы по тегам