Wie bekomme ich die tatsächliche Erstellungszeit einer Datei unter Unix?

27099
inckka

Ich überprüfe einige Dateien auf meinem dedizierten Webserver über Linux-Cli nach einem Hack-Angriff und habe festgestellt, dass einige Dateien mit dem Befehl 'touch' geändert wurden, um die Daten zu ändern. Ich bin bereit, das genaue Erstellungsdatum für diese spezifischen Dateien zu erhalten. Ich habe schon folgendes versucht

stat ls -ld 

Die haben das geschriebene Datum nicht auf der Festplatte geliefert (Erstellungsdatum)

Gibt es auch eine andere Möglichkeit, das Datum der Dateierstellung zu erhalten? (aktuelles Datum, an dem die Datei auf die Festplatte geschrieben wurde)

6
It seems odd that a hacker should randomly `touch` some files. In your shoes, I would wonder whether those files have been replaced by doctored versions allowing the attacker continuous access. Did you at least run software specialized in rootkit detection, like rkhunter and chkrootkit? MariusMatutiae vor 10 Jahren 0

1 Antwort auf die Frage

9
a CVn

Was Sie suchen, ist auf * nix die Geburtszeit der Datei .

Leider behalten die meisten * nix-Dateisysteme diese Informationen nicht im Auge.

Wenn es verfügbar ist, statsollte es in einer aktuellen Version von angezeigt werden. Andernfalls würde Ihre beste Wette wahrscheinlich gegen Datei aus einem Backup - Eintrag vergleichen (Sie tun Sicherungen haben, nicht wahr?), Um zu sehen, welche Dateien hinzugefügt wurden.

~$ stat .bashrc File: `.bashrc' Size: 3539 Blocks: 9 IO Block: 3584 regular file Device: 24h/36d Inode: 204095 Links: 1 Access: (0644/-rw-r--r--) Uid: ( 1000/ michael) Gid: ( 1000/ michael) Access: 2013-12-11 09:41:50.315475289 +0100 Modify: 2013-08-16 21:28:42.000000000 +0200 Change: 2013-09-14 01:55:27.167869741 +0200 Birth: - ~$  

Wie Sie sehen, gibt es keinen Geburtsstempel. Dies bedeutet, dass das Dateisystem, das ich für mein Home-Verzeichnis (in meinem Fall ZFS) verwende, diese Informationen entweder nicht speichert oder nicht über das Linux-Dateisystem verfügbar macht Schicht auf eine Weise, die stat kennt. In beiden Fällen ist der Effekt weitgehend derselbe: Es sind keine Informationen verfügbar.

Das oben Gesagte, ich wäre nicht besonders überrascht, wenn selbst auf einem System, in dem die Geburtszeiten von Dateien nachverfolgt werden, so etwas cp --copy-contents --preserve=timestamps /dev/null /tmp/somefile && cat ./somefile >> /tmp/somefilein der Tat alles aufhebt. Selbst wenn Geburtszeiten zur Verfügung stehen, sollten Sie sich daher nicht auf etwas Wichtiges verlassen, beispielsweise auf die Auswirkungen einer Sicherheitsverletzung.

Auf den meisten Systemen können Sie am ehesten die Änderungszeit der Datei oder die Uhrzeit (mtime) ermitteln, welche Statistikdaten angezeigt werden und welche Dateisysteme die meisten Dateisysteme verfolgen. Wie Sie jedoch bemerkt haben, wird dies mit trivial geändert touch.

Thanks for the detailed info and it saved my time. There are no bkps, due to this file has put by hacker. Also stat shows Birth as '-' inckka vor 10 Jahren 0
@inckka Wenn Sie wissen, dass die Datei nicht vorhanden sein soll, löschen Sie sie einfach. Hüten Sie sich nur vor anderen Elementen, die möglicherweise auf Ihrem System platziert wurden. * Sehr oft * in dieser Art von Situation, es sei denn, Sie können * beweisen (was äußerst schwierig ist), dass Sie das System in angemessener Zeit reinigen können .stackexchange.com / q / 24195/2138) und Wiederherstellung von einem bekannten guten Backup (das Sie eigentlich hätten haben sollen, ist ungefähr alles, was ich dazu sagen kann). a CVn vor 10 Jahren 0
Very useful information. Intruder has written files randomly, for create a back-door to my another important site hosted separately on another folder under same domain. I'm gonna perform a fresh installation from the latest backup files. Thanks inckka vor 10 Jahren 0
@inckka Seien Sie vorsichtig mit dem, was Sie wiederherstellen, damit Sie in der neuen Installation nicht unbeabsichtigt Hintertüren öffnen. Wenn Sie der Meinung sind, dass diese Antwort Ihre Frage richtig beantwortet, geben Sie dies bitte an, indem Sie sie bestätigen und akzeptieren. Vielen Dank. a CVn vor 10 Jahren 0