Вариант для распечатки		Пред. тема | След. тема
Форум Открытые системы на сервере (Файловые системы, диски)
Изначальное сообщение		[ Отслеживать ]

"Удалить/изменить immutable файл и/или папку"	+/–
Сообщение от lyric (ok), 25-Сен-24, 17:36
Доброго времени суток! Контекст - взломали одну из моих личных виртуалок (особо не удивлен, ибо там древняя CentOS 6 - я про нее забыл, откровенно говоря, давно) Прописали в /root/.ssh/authorized_keys свои ключи и добавили бинарники (/usr/bin/mysqldumpt + еще по мелочи) для ddos-атак. И вот тут момент в том, что удалить или изменить эти файлы из-под root'а я не могу. # rm -rf mysqldumpt rm: cannot remove `mysqldumpt': Operation not permitted lsattr показывает, что стоят аттрибуты immutable и append # lsattr mysqldumpt ----ia-------e- mysqldumpt Но вот снять их не выходит - команда chattr -i /root/.ssh/authorized_keys выполняется без ошибок, но при повторной проверке атрибут на месте Хотелось бы разобраться, а как так вообще? Есть идеи, куда копнуть? selinux отключен, fs - ext4
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Pahanivo пробегал (?), 25-Сен-24, 18:28	+/–
Зачем пытаться чинить хакнутую ось??? Там неизвестно что еще и куда насовали.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2

2. Сообщение от lyric (ok), 25-Сен-24, 18:38	+/–
> Зачем пытаться чинить хакнутую ось??? Там неизвестно что еще и куда насовали. Вопрос в "разобраться, как так вообще умудрились файл защитить" Само собой, потом пойдет под переустановку.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4

3. Сообщение от lyric (ok), 25-Сен-24, 19:39	+/–
В посте описано, что пробую изменить атрибуты, а затем их посмотреть у разных файлов (/usr/bin/mysqldumpt и /root/.ssh/authorized_keys) - но это ошибка именно в посте. В реальности, само собой, пробовал на обоих файлах последовательно. >[оверквотинг удален] > из-под root'а я не могу. > # rm -rf mysqldumpt > rm: cannot remove `mysqldumpt': Operation not permitted > lsattr показывает, что стоят аттрибуты immutable и append > # lsattr mysqldumpt > ----ia-------e- mysqldumpt > Но вот снять их не выходит - команда chattr -i /root/.ssh/authorized_keys выполняется > без ошибок, но при повторной проверке атрибут на месте > Хотелось бы разобраться, а как так вообще? Есть идеи, куда копнуть? > selinux отключен, fs - ext4
Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от Pahanivo пробегал (?), 25-Сен-24, 20:21	+/–
>> Зачем пытаться чинить хакнутую ось??? Там неизвестно что еще и куда насовали. > Вопрос в "разобраться, как так вообще умудрились файл защитить" дарю ломаешь сервак, ставишь атрибуты, подменяешь chattr - профит или ты chattr по md5 проверил? )) > Само собой, потом пойдет под переустановку.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #5, #6

5. Сообщение от Pahanivo пробегал (?), 25-Сен-24, 20:23	+/–
А вообще умные люди ищут как хакнули, а не что можно напакостить под рутом .... ибо это тупость.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

6. Сообщение от lyric (ok), 26-Сен-24, 00:01	+/–
>>> Зачем пытаться чинить хакнутую ось??? Там неизвестно что еще и куда насовали. >> Вопрос в "разобраться, как так вообще умудрились файл защитить" > дарю > ломаешь сервак, ставишь атрибуты, подменяешь chattr - профит > или ты chattr по md5 проверил? )) >> Само собой, потом пойдет под переустановку. Оно :) Спасибо за совет!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

7. Сообщение от Аноним (7), 02-Окт-24, 17:36	+/–
>[оверквотинг удален] > из-под root'а я не могу. > # rm -rf mysqldumpt > rm: cannot remove `mysqldumpt': Operation not permitted > lsattr показывает, что стоят аттрибуты immutable и append > # lsattr mysqldumpt > ----ia-------e- mysqldumpt > Но вот снять их не выходит - команда chattr -i /root/.ssh/authorized_keys выполняется > без ошибок, но при повторной проверке атрибут на месте > Хотелось бы разобраться, а как так вообще? Есть идеи, куда копнуть? > selinux отключен, fs - ext4 Пальни демоны и вирусню по lsof, а ещё глянь на initrd.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема