На ряде серверов появилась аномалия - что-то меняет права на файлы - файлам выставляет -rwxr-xr-x, директориям drwxr-xr-x, подскажите, как вычислить, кто это делает?
Рутовый доступ есть только у меня, да и не важно это в данный момент, понятно что как-то поломали. Но как вычислить кто меняет права?
PS
Что странно могли бы ввести rm -rf, но нет только меняют права... Правда от этого не легче, потому что когда права меняются на / или на ssh ключи или на /dev/null или на /tmp и т.д. возникают существенные проблемы.
не факт, это может делать например udev, но и взлом возможен. Изучите логи входа в сервер. Сопоставьте с последним временем доступа в метаданных файла. Как вариант можно попробовать задействовать подсистему Inotify
Что странно могли бы ввести rm -rf, но нет только меняют права...
Не понятно что тут странного? Какому идиоту вообще придет в голову запуск rm -rf ? Какой в этом смысл?
Я даже представить не могу как эту команду можно монетизировать.
Хм. Отличная идея. Я это запомню, спасибо.
В последнее время права больше никто не менял - судя по всему всётаки кто-то из своих не понимал, что он делает. Или использовал кривой скрипт.
Права меняются в том числе на /etc/ssh и устройство /dev/null это точно делается из под рута. Вопрос как вычислить и устранить софт который это делает. Больше никакоц подозрительной активности на сервер нет, проц не нагружен, траффик потребляется как обычно. Только меняются права...
Камил, в последнее время всё нормализовалось. Права больше никто не менял. Видимо это был кто-то из своих и не признаётся (или вовсе не понимает, что это был он).
Александр Карабанов, как может поменять кто-то из своих? Ну не макаки же люди, что на клаве поскакали и Enter нажали. Это либо розыгрыш, и надо искать шутника, или чьи-то пакости, или зловредный скрипт. Менять пароль рута однозначно.
