Como usar 'list' para localizar atributos alterados para 's --- ia -------'?

Question

Meu servidor linux do CentOS foi comprometido ultimamente (rootkit). Alguns atributos de arquivos foram alterados, por exemplo, o comando:

lsattr /bin/ls

dá

s---ia------- /bin/ls

Como cand Eu uso o comando find para listar todos os arquivos no sistema que possuem atributos definidos como s---ia------- em vez de ------------- ?

    

Answer 1

O Find não tem nenhuma maneira de obter essas informações diretamente, mas você não precisa usá-las, pois o lsattr tem um -R , então

lsattr -R /path/you/care/about 2>/dev/null | grep -- 's---ia-------'

deve fazer o que quiser.

Observe que -- para grep não é necessário para o seu conjunto específico de atributos, mas se, por exemplo, você quisesse pesquisar por '---- ia -------', você definitivamente precisaria dele.

    

Answer 2

Como você mencionou o find, estou sugerindo que você tente seguir o comando

find / -type f -exec lsattr {} + | grep -v '\-\-\-\-\-\-\-\-\-\-\-\-\-'

O ideal seria usar AIDE ou tripwire