如何使用“list”来定位更改为“s---ia-------”的属性？

Question

我的 Linux CentOS 服务器最近被入侵了（rootkit）。一些文件属性已被更改，例如命令：

lsattr /bin/ls

给出

s---ia------- /bin/ls

如何使用find命令列出系统上所有将属性设置为s---ia-------而不是 的文件-------------？

Answer 1

Find 没有任何方法直接获取此信息，但你不需要使用它，因为 lsattr 有一个-R开关，因此

lsattr -R /path/you/care/about 2>/dev/null | grep -- 's---ia-------'

应该做你想做的事。

请注意，--您的特定属性集不需要 grep，但如果例如您想要搜索“----ia-------”那么您肯定需要它。

Answer 2

因为您提到了 find，所以我建议您尝试以下命令

find / -type f -exec lsattr {} + | grep -v '\-\-\-\-\-\-\-\-\-\-\-\-\-'

理想情况下，我更愿意使用助手或者绊线