[Tech] login immodificabile

[Franco Bagnoli]

On Sun, 13 Apr 2003, Leonardo Boselli wrote:

> Per motivi misteriosi il file in /bin ls df e ping mi saono diventati con 
> permission 0700 anziché 0755 . Hodato un comando chmod 755 
> /bin/*  ... eil risultato è che tutti i file hanno preso questi permessi. 
> completi su mount login che non dovevano averli . per su e mount 
> rimetterci 4755 è stato banale. ma per login mi dice questo: 
> olo:/bin# mv login login00 mv: cannot unlink `login': Operation not 
> permitted mv: cannot remove `login': Operation not permitted 
> olo:/bin# chmod 4755 login chmod: changing permissions of `login': 
> Operation not permitted .... che posso fare ? COME MAI CAPITA 
> QUESTO ? 

probabilmente sono entrati sul tuo computer con un qualche rootkit che 
spesso rimpiazza login con un comando modificato e usa gli attributi non 
standard del ext2 per far sì che tu non lo possa cancellare. 

Per info sui flag:

http://www.securityfocus.com/infocus/1407

puoi cambiare il flag con chattr o (credo) debugfs

ovviamente dovrai dare una controllata seria al sistema.....




-- 
Franco Bagnoli (franchino) <franco.bagnoli@unifi.it> (bagnoli@dma.unifi.it)
virtual location: Dipartimento di Energetica "S. Stecco"
real location: Dip. Matematica Applicata "G. Sansone", Universita' Firenze,
Via S. Marta, 3 I-50139 Firenze, Italy. Tel. +39 0554796422, fax: +39 055471787
GPG Key fingerprint = 169D 9EA5 8FD3 7EDA E43A  9830 255F BCEC 0D63 3728