【Linux被攻击】关于Linux攻击文件在etc目录下无法删除，不能进行任何操作(Operation not permitted)

一、问题

  突然连续几天接到类似消息，起初以为是安全警告提示，没怎么在意，后来有一次点击查看,发现是挖矿程序！

后来在控制台发现，这台服务器的资源占用非常高，因为这是一台空白服务器，按道理不可能有那么大的占用！

经过问题详情的查看， 发现攻击者是在etc目录下植入一个zzh和zzhs的文件！使用rm -rf zzh 无法删除，并提示不允许操作 的提示！（Operation not permitted）

二、解决

1.首先查看文件权限 ll | grep 文件名

2.发现文件没有执行权限，添加权限 chmod 7 文件名，如下失败，不允许操作

此时执行 rm -r zzhs 成功删除！但是删除zzh这个文件时，提示不允许操作，并且zzh的所有权限是有的！

3.查看文件是否被禁止操作 lsattr 文件名，如下所示

4.简单解释以下 ia 参数

a：Append Only，系统只允许在这个文件之后追加数据，不允许任何进程覆盖或截断这个文件。如果目录具有这个属性，系统将只允许在这个目录下建立和修改文件，而不允许删除任何文件。
　
i：Immutable，系统不允许对这个文件进行任何的修改。如果目录具有这个属性，那么任何的进程只能修改目录之下的文件，不允许建立和删除文件。

5.解决办法，删除 ia 参数 chattr ia 文件名，如下所示删除成功

最后删除成功！

三、总结

1.lsattr 命令

lsattr命令用于显示文件属性，用chattr执行改变文件或目录的属性，可执行lsattr指令查询其属性

语法

lsattr [-adlRvV] [文件或目录...]

参数

• -a 　显示所有文件和目录，包括以".“为名称开头字符的额外内建，现行目录”.“与上层目录”…"
• -d 　显示当前目录名称，而非其内容
• -l 　显示当前目录下所有文件/目录的权限
• -R 　递归处理，将指定目录下的所有文件及子目录一并处理

显示当前目录下所有文件权限（如果是文件夹以文件形式显示）

• -v 　显示文件或目录版本
• -V 　显示版本信息

2.chattr 命令

chattr命令用于改变文件属性
这项指令可改变存放在ext2文件系统上的文件或目录属性，这些属性共有以下8种模式：

• a：让文件或目录仅供附加用途。
• b：不更新文件或目录的最后存取时间。
• c：将文件或目录压缩后存放。
• d：将文件或目录排除在倾倒操作之外。
• i：不得任意更动文件或目录。
• s：保密性删除文件或目录。
• S：即时更新文件或目录。
• u：预防意外删除。
  注意：文件属性为 -a 时，追加文件内容需要使用 echo 命令，不能使用 vim ,原因就是 vim 会生成新的文件，echo 是在源文件上追加

语法

chattr [-RV][-v<版本编号>][+/-/=<属性>][文件或目录...]

参数

• -R 递归处理，将指定目录下的所有文件及子目录一并处理
• -v<版本编号> 设置文件或目录版本
• -V 显示指令执行过程
• +<属性> 开启文件或目录的该项属性
• -<属性> 关闭文件或目录的该项属性
• =<属性> 指定文件或目录的该项属性

3.chattr 和 chmod区别

• chmod ： 这个是用于设置文件的用户权限！共10 位！
• chattr：这个是文件的属性！