Не могу удалить поврежденные файлы в Linux
Таким образом, меня поразил сценарий Kitte... К счастью, это Ubuntu, и он смог заменить w/ binaries из сопоставимой системы, однако
Некоторые из файлов, которые я не смог удалить, до сих пор не найдены. Похищенные файлы сидят в /_bin
каталог, который доступен для записи пользователю root.
nathan@db-0:~$ ls -ld !$
ls -ld /_bin
drwxr-xr-x 2 root root 4096 Mar 12 18:00 /_bin
Хорошо, это права доступа к каталогу, теперь для файлов внутри:
nathan@db-0:~$ ls -l /_bin
total 268
-rwxr-xr-x 1 root root 39696 Nov 19 22:25 ls
-rwxr-xr-x 1 root root 119800 Mar 31 2012 netstat
-rwxr-xr-x 1 root root 101240 Dec 12 2011 ps
Теперь, когда я пытаюсь удалить один из этих файлов (как root):
root@db-0:/home/nathan# rm /_bin/ls
rm: cannot remove `/_bin/ls': Operation not permitted
Или если я попытаюсь удалить весь _bin
каталог (опять как root):
root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted
Итак, как я могу удалить эти файлы?
Редактировать:
Конечно, установлен неизменный бит, однако удаление его не позволяет удалить файлы.
root@db-0:/home/nathan# lsattr /_bin
s---ia--------- /_bin/ls
s---ia--------- /_bin/netstat
s---ia--------- /_bin/ps
root@db-0:/home/nathan# chattr -R -i /_bin
root@db-0:/home/nathan# lsattr /_bin
s----a--------- /_bin/ls
s----a--------- /_bin/netstat
s----a--------- /_bin/ps
root@db-0:/home/nathan# rm -rf /_bin
rm: cannot remove `/_bin/ls': Operation not permitted
rm: cannot remove `/_bin/netstat': Operation not permitted
rm: cannot remove `/_bin/ps': Operation not permitted
Также проверено /_bin
не имеет неизменного бита:
root@db-0:/home/nathan# lsattr -d /_bin
--------------- /_bin
2 ответа
Скорее всего, злоумышленник установил неизменный атрибут для файлов и каталога. Обычно это делается руткитами, чтобы сделать очистку более сложной.
Чтобы подтвердить это, попробуйте:
lsattr /_bin
Чтобы удалить неизменный атрибут, используйте:
chattr -R -i /_bin
Вы также хотите очистить a
а также s
атрибуты, так как они могут повлиять на вашу способность удалять файлы.
chattr -R -i -a -s /_bin
Увидеть chattr
Страница man для полного объяснения того, что все атрибуты и что они делают.