我的 linux 盒子被黑了。某些文件即使被 root 也无法删除。我怎样才能更换它们？

Question

入侵者试图在我的盒子上安装 rootkit。我想要它回来，然后重新安装。如何替换攻击者安装的无效文件？我不能 chown 或 rm 他们。它在 rm、chown、mv 或类似文件上显示“不允许操作”。我正在运行 debian sarge。

编辑：chattr 显示了一些标志（s、i 和 a），但删除它们无济于事。再次编辑：我的错，抱歉，chattr 确实有效。我不知道我看到了。

Answer 1

在这种情况下，重新安装是适当的操作。一旦一个盒子像这样被破坏，它就不再是一个值得信赖的安装。即使你“认为”你已经把它清理干净了。

我会使用 dd 或许多免费磁盘映像选项之一制作磁盘副本，以便您可以对其进行一些取证并检索您需要的任何数据。然后我会重新安装并从已知的良好备份中恢复您的数据。希望在取证中您可以找出攻击者是如何进入的，并采取措施确保它不会再次发生。

Answer 2

首先尝试“聊天”该文件和/或该文件所在的目录。

此外，如果是 rootkit，最好是全新安装（一个朋友被“rootkited”，讨厌的代码位于“ls”二进制文件中，并在每个“ls”处执行）。

稍后：再一次，您应该尝试启动 LiveCD / LiveUSB ，挂载该分区并对其进行编辑/扫描。