为什么 lsattr 没有输出以及如何解决

Question 1

open("/bin/lsattr", O_RDONLY)           = 3
ioctl(3, TCGETS, 0x7fff7292e310)        = -1 ENOTTY (Inappropriate ioctl for device)
lseek(3, 0, SEEK_CUR)                   = 0
read(3, "#!/bin/sh\n", 80)              = 10

它看起来像是/bin/lsattr被“坏”系统中的脚本替换了。这些行告诉我现在的前 10 个字节/bin/lsattr是#!/bin/sh<newline>.

dup2(3, 255)                            = 255
close(3)                                = 0
fcntl(255, F_SETFD, FD_CLOEXEC)         = 0
fcntl(255, F_GETFL)                     = 0x8000 (flags O_RDONLY|O_LARGEFILE)
fstat(255, {st_mode=S_IFREG|0755, st_size=10, ...}) = 0

看起来的大小/bin/lsattr正好是 10 个字节，因此看起来实际的脚本/bin/lsattr已被替换为基本上空的脚本，该脚本不执行任何操作。这看起来不太好。

您的系统可能已被破坏：软件包/usr/sbin/sshd中的openssh-server可能已被替换为有后门的软件包，该软件包可能会将输入的任何密码的副本发送给入侵者，而替换lsattr可能只是为了使摆脱后门变得更加困难。还可能存在其他非法修改。

在这种情况下，您应该尽快断开该系统与网络的连接，然后查看这个问题关于信息安全.SE以获得进一步的建议。

但简而言之：您应该将用于登录该系统的所有密码视为已泄露。如果本系统使用的用户名+密码对在其他地方使用，应立即更改。

然后，您应该备份该系统上的所有重要数据，然后完全格式化并重新安装。对真的。入侵者可能对系统进行了任意数量的修改，以使其为他们服务，并使他们更容易重新获得对系统的访问权限，即使您试图“清理”它。

如果您从旧备份恢复此系统（有风险），您应该仔细验证备份中是否还没有入侵者的修改，然后确保恢复的系统无法从互联网访问，直到您安装了所有可用的系统。更新并验证所有已安装软件包的完整性。

Answer

open("/bin/lsattr", O_RDONLY)           = 3
ioctl(3, TCGETS, 0x7fff7292e310)        = -1 ENOTTY (Inappropriate ioctl for device)
lseek(3, 0, SEEK_CUR)                   = 0
read(3, "#!/bin/sh\n", 80)              = 10