Форум АНТИЧАТ

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)
-   *nix (https://forum.antichat.xyz/forumdisplay.php?f=43)
-   -   о временных атрибутах файла (https://forum.antichat.xyz/showthread.php?t=164568)

(Dm) 19.12.2009 05:42

о временных атрибутах файла
 
Небольшой отчерк "о временных атрибутах файла в *unix"

Цитата:

В заключение - несколько слов о временных атрибутах файла, которые, как станет ясным из главы про управление пакетами, в некоторых случаях оказываются очень важными. Их - опять же три: время доступа (atime - от Access Time), время модификации (mtime - от Modification Time) и время изменения (ctime - от Change Time). Первый атрибут фиксирует время последнего обращения к файлу - любого, например, просмотра его командой less. Атрибут этот на практике используется редко, а пересчет времени доступа для изобилия файлов на древе Unix-системы отъедает ресурсы. И потому часто он (пересчет, конечно, а не атрибут) отменяется, о чем будет разговор в главе о иерархии файлов и монтировании файловых систем.

Атрибут модификации, mtime, устанавливает время последнего изменения файла, вернее - изменения области его данных (например, правки текста в редакторе). А атрибут изменения, ctime, (по русски лучше для определенности добавлять - изменения статуса) фиксирует время изменения метаданных файла - например, прав доступа, владельца, группы и т.д.

Характерно, что ни один из временных атрибутов файла не отражает непосредственно времени его создания. В качестве такового можно рассматривать атрибут ctime - но только в том случае, если в дальнейшем статус файла не изменялся (например, если файлу текста скрипта не был присвоен атрибут исполнения). В противном случае определить истинное время создания файла невозможно.

http://www.linuxcenter.ru/lib/books/posixbook/ch08.phtml#10:
Что интересно, обычно для того чтобы спрятать шелл пользуюсь командой:
Цитата:

touch -t [[CC]YY]MMDDhhmm[.ss] имяфайла
Как оказалось при выполнении этой команды меняется время модификации файла и время доступа на то время что было указано, а ctime на текущее время, поэтому для поиска свеже залитого шелла (даже если время модификации было изменено), можно использовать такую команду :
Цитата:

find /var/www -ctime -1 -user www-data

navigat0r 19.12.2009 05:53

прикольно, но мне кажется единицы проверяют командой ind /var/www -ctime -1 -user www-data

cr0w 19.12.2009 13:02

Чтоб ищущему таким способом шелл админу жизнь медом не казалась, можно сделать заодно touch на все имеющиеся и доступные для изменения файлы. (;

ghostwizard 19.12.2009 14:28

Цитата:

Сообщение от cr0w
Чтоб ищущему таким способом шелл админу жизнь медом не казалась, можно сделать заодно touch на все имеющиеся и доступные для изменения файлы. (;

Тем самым ты раскроешь факт своего присутствия. Во-вторых, есть хауту как сохранять atime, mtime, ctime более-менее адекватным путем, через копирование файла + смену времени:

_http://www.krazyworks.com/changing-time/

Неадекватный путь:

_http://www.securiteam.com/tools/5JP0H2K7FE.html

(Dm) 19.12.2009 15:22

Цитата:

Сообщение от ghostwizard
Тем самым ты раскроешь факт своего присутствия. Во-вторых, есть хауту как сохранять atime, mtime, ctime более-менее адекватным путем, через копирование файла + смену времени:

_http://www.krazyworks.com/changing-time/

Неадекватный путь:

_http://www.securiteam.com/tools/5JP0H2K7FE.html

оба способа требуют привилегии root.
Интересно почему второй способ, по твоему неадекватный, вполне нормальная софтина.

cr0w 19.12.2009 17:15

ghostwizard

Цитата:

Тем самым ты раскроешь факт своего присутствия.
Тем самым я затрудню поиск шелла вышеприведенным способом. А факт присутствия - он уже раскрыт, раз ищут...

Тож не понял чем воторой способ неадекватнее первого - та софтина делает примерно то же самое, что описано по первой ссылке...

ghostwizard 19.12.2009 17:16

Цитата:

Сообщение от (Dm)
оба способа требуют привилегии root.
Интересно почему второй способ, по твоему неадекватный, вполне нормальная софтина.

Скажем с установленным SELinux date прокатит, за софтину я не уверен, надо прогнать.

update:

Все пашет, SELinux не руганулся даже. Реквест на патч уже был подан не так давно:

_http://patchwork.kernel.org/patch/61709/

ghostwizard 19.12.2009 17:44

Цитата:

Сообщение от cr0w
ghostwizard

Тем самым я затрудню поиск шелла вышеприведенным способом. А факт присутствия - он уже раскрыт, раз ищут...

Тож не понял чем воторой способ неадекватнее первого - та софтина делает примерно то же самое, что описано по первой ссылке...

1. Искать можно либо руками, либо автоматизировать. Как раз последний пункт может многое выдать.
2. Верно.


Время: 20:35