วิธีค้นหาไฟล์ที่มีการตั้งค่าแอตทริบิวต์ที่ไม่เปลี่ยนรูปแบบ?

สำหรับเหตุผลการตรวจสอบการกำหนดค่าฉันต้องการค้นหาไฟล์ระบบ ext3 ของฉันเพื่อหาไฟล์ที่มีชุดคุณลักษณะที่ไม่เปลี่ยนรูปแบบ (ผ่านchattr +i) ฉันไม่พบตัวเลือกใด ๆfindหรือคล้ายกันที่ทำสิ่งนี้ ณ จุดนี้ฉันเกรงว่าฉันจะต้องเขียนสคริปต์ของตัวเองเพื่อแยกวิเคราะห์lsattrผลลัพธ์สำหรับแต่ละไดเรกทอรี มียูทิลิตี้มาตรฐานที่ให้วิธีที่ดีกว่าหรือไม่?

สามารถทำได้บางส่วนโดยการไพพ์grepคำสั่งไปยังlsattrคำสั่ง

lsattr -R | grep +i

แต่ผมเชื่อว่าเมื่อคุณพูดถึงทั้งext3ระบบแฟ้มค้นหาอาจเกี่ยวข้องกับการ/proc, /devและบางไดเรกทอรีอื่น ๆ ซึ่งถ้ารายงานข้อผิดพลาดบางอย่างที่คุณเพียงแค่ต้องการที่จะไม่สนใจ คุณอาจเรียกใช้คำสั่งเป็น

lsattr -R 2>/dev/null | grep -- "-i-"

คุณอาจต้องการทำให้grepเข้มงวดมากขึ้นอีกเล็กน้อยโดยใช้เครื่องมือgrepอำนวยความสะดวก PCRE เพื่อจับคู่ "-i-" อย่างชัดเจนยิ่งขึ้น

lsattr -R 2>/dev/null | grep -P "(?<=-)i(?=-)"

สิ่งนี้จะทำงานในสถานการณ์เช่นนี้:

$ lsattr -R 2>/dev/null afile | grep -P "(?<=-)i(?=-)"
----i--------e-- afile

แต่ไม่สมบูรณ์ หากมีการเปิดใช้งานแอตทริบิวต์เพิ่มเติมรอบ ๆ แฟล็กที่ไม่เปลี่ยนรูปเราจะไม่จับคู่และจะถูกหลอกโดยไฟล์ที่ชื่อของชื่อนั้นตรงกับรูปแบบด้านบนเช่นนี้:

$ lsattr -R 2>/dev/null afile* | grep -P "(?<=-)i(?=-)"
----i--------e-- afile
-------------e-- afile-i-am

เราสามารถทำให้รูปแบบแน่นขึ้นเช่นนี้:

$ lsattr -a -R 2>/dev/null afile* | grep -P "(?<=-)i(?=-).* "
----i--------e-- afile

แต่มันก็ยังบอบบางเกินไปและจะต้องมีการปรับแต่งเพิ่มเติมตามไฟล์ภายในระบบไฟล์ของคุณ ไม่ต้องพูดถึงเป็น@StephaneChazelesได้กล่าวถึงในความคิดเห็นที่ว่านี้สามารถ gamed grepเป็นธรรมได้อย่างง่ายดายโดยรวมของการขึ้นบรรทัดใหม่กับไฟล์ที่ชื่อเพื่อบายพาสรูปแบบข้างต้นเพื่อ

อ้างอิง

https://groups.google.com/forum/#!topic/alt.os.linux/LkatROg2SlM

เนื่องจากวัตถุประสงค์ของสคริปต์คือการตรวจสอบเป็นสิ่งสำคัญอย่างยิ่งที่จะต้องจัดการอย่างถูกต้องกับชื่อไฟล์โดยพลการเช่นชื่อที่มีการขึ้นบรรทัดใหม่ สิ่งนี้ทำให้เป็นไปไม่ได้ที่จะใช้lsattrกับไฟล์หลายไฟล์พร้อมกันเนื่องจากเอาต์พุตของlsattrอาจคลุมเครือในกรณีนั้น

คุณสามารถfindเรียกคืนและเรียกlsattrใช้ไฟล์ได้ครั้งละหนึ่งไฟล์ มันจะค่อนข้างช้า

find / -xdev -exec sh -c '
  for i do
     attrs=$(lsattr -d "$i"); attrs=${attrs%% *}
     case $attrs in
       *i*) printf "%s\0" "$i";;
     esac
  done' sh {} +

ฉันแนะนำให้ใช้ภาษาที่ไม่ค่อยบ้าคลั่งเช่น Perl, Python หรือ Ruby และทำงานlsattrด้วยตัวเอง lsattrดำเนินการโดยการออกFS_IOC_GETFLAGSioctl syscall และดึงไฟล์ธง inode นี่คือแนวคิดการพิสูจน์ของ Python

#!/usr/bin/env python2
import array, fcntl, os, sys
FS_IOC_GETFLAGS = 0x80086601
EXT3_IMMUTABLE_FL = 0x00000010
count = 0
def check(filename):
    fd = os.open(filename, os.O_RDONLY)
    a = array.array('L', [0])
    fcntl.ioctl(fd, FS_IOC_GETFLAGS, a, True)
    if a[0] & EXT3_IMMUTABLE_FL: 
        sys.stdout.write(filename + '\0')
        global count
        count += 1
    os.close(fd)
for x in sys.argv[1:]:
    for (dirpath, dirnames, filenames) in os.walk(x):
        for name in dirnames + filenames:
            check(os.path.join(dirpath, name))
if count != 0: exit(1)

เพื่อจัดการกับชื่อไฟล์โดยพลการ (รวมทั้งตัวละครที่มีการขึ้นบรรทัดใหม่) ซึ่งเป็นเคล็ดลับปกติคือการหาไฟล์ภายในแทน.//. .เนื่องจาก//ปกติไม่สามารถเกิดขึ้นได้ขณะสำรวจทรีไดเรกทอรีคุณแน่ใจว่า//สัญญาณเริ่มต้นของชื่อไฟล์ใหม่ในเอาต์พุตfind(หรือที่นี่lsattr -R)

lsattr -R .//. | awk '
  function process() {
    i = index(record, " ")
    if (i && index(substr(record,1,i), "i"))
      print substr(record, i+4)
  }
  {
    if (/\/\//) {
      process()
      record=$0
    } else {
      record = record "\n" $0
    }
  }
  END{process()}'

โปรดทราบว่าการส่งออกจะยังคงขึ้นบรรทัดใหม่ หากคุณต้องการโพสต์ประมวลผลคุณจะต้องปรับเปลี่ยน ตัวอย่างเช่นคุณสามารถเพิ่ม-v ORS='\0'เพื่อให้สามารถที่จะเลี้ยงมัน xargs -r0GNU

นอกจากนี้โปรดทราบว่าlsattr -R(อย่างน้อย 1.42.13) ไม่สามารถรายงานแฟล็กของไฟล์ที่มีเส้นทางมีขนาดใหญ่กว่าPATH_MAX (ปกติคือ 4096) ดังนั้นบางคนสามารถซ่อนไฟล์ที่ไม่เปลี่ยนรูปแบบดังกล่าวได้โดยการย้ายไดเรกทอรีพาเรนต์ มันยกเว้นตัวมันเองซึ่งมันไม่เปลี่ยนรูป) ไปยังไดเรกทอรีที่ลึกมาก

หลีกเลี่ยงการใช้findกับ-execdir:

find . -execdir sh -c '
  a=$(lsattr -d "$1") &&
    case ${a%% *} in
      (*i*) ;;
      (*) false
    esac' sh {} \; -print0

ในตอนนี้ด้วย-print0กระบวนการหลังการประมวลผล แต่ถ้าคุณตั้งใจจะทำอะไรกับพา ธ เหล่านั้นโปรดทราบว่าการเรียกใช้ระบบบนพา ธ ไฟล์ที่มากกว่าPATH_MAXจะยังคงล้มเหลวและอาจมีการเปลี่ยนชื่อส่วนประกอบไดเรกทอรีในช่วงเวลานั้น

หากเราจะได้รับรายงานที่เชื่อถือได้ในแผนผังไดเรกทอรีที่ผู้อื่นอาจเขียนได้มีปัญหาอีกสองสามประการที่มีอยู่ในตัว lsattrคำสั่งที่เราต้องการพูดถึง:

• วิธีที่ทราฟlsattr -R .ฟิกไดเร็กทอรีนั้นขึ้นอยู่กับเงื่อนไขการแข่งขัน หนึ่งสามารถทำให้มันลงไปยังไดเรกทอรีด้านนอกของต้นไม้ไดเรกทอรีเส้นทางที่.โดยการแทนที่บางไดเรกทอรีด้วย symlink ในเวลาที่เหมาะสม
• แม้จะlsattr -d fileมีสภาพการแข่งขัน แอ็ตทริบิวต์เหล่านั้นใช้ได้กับไฟล์หรือไดเรกทอรีปกติเท่านั้น ดังนั้นlsattrการที่ไม่lstat()เป็นครั้งแรกเพื่อตรวจสอบว่าไฟล์ประเภทขวาแล้วไม่open()ตามมาด้วยioctl()การดึงคุณลักษณะ แต่มันจะโทรopen()โดยไม่มีO_NOFOLLOW(หรือ O_NOCTTY) บางคนสามารถแทนที่fileด้วย symlink เพื่อ/dev/watchdogยกตัวอย่างเช่นระหว่างlstat()และopen()และทำให้ระบบรีบูต มันควรจะopen(O_PATH|O_NOFOLLOW)ตามด้วยfstat(), openat()และioctl()ที่นี่เพื่อหลีกเลี่ยงสภาพการแข่งขัน

ขอบคุณ Ramesh, slm และStéphaneที่ชี้ให้ฉันไปในทิศทางที่ถูกต้อง (ฉันพลาด-Rสวิตช์ไปlsattr) น่าเสียดายที่ไม่มีคำตอบใดที่ทำงานได้อย่างถูกต้องสำหรับฉัน

ฉันมากับสิ่งต่อไปนี้:

lsattr -aR .//. | sed -rn '/i.+\.\/\/\./s/\.\/\///p'

สิ่งนี้จะช่วยป้องกันการขึ้นบรรทัดใหม่ที่ใช้ในการทำให้ไฟล์ปรากฏว่าไม่เปลี่ยนรูปเมื่อไม่ได้ใช้ มันไม่ได้ป้องกันไฟล์ที่ตั้งค่าไม่เปลี่ยนรูปและมีบรรทัดใหม่ในชื่อไฟล์ แต่เนื่องจากไฟล์ดังกล่าวจะต้องทำโดยรูทฉันจึงมั่นใจได้ว่าไฟล์ดังกล่าวไม่มีอยู่ในระบบไฟล์ของฉันสำหรับกรณีการใช้งานของฉัน (วิธีนี้ไม่เหมาะสำหรับการตรวจจับการบุกรุกในกรณีที่ผู้ใช้รูทอาจถูกโจมตี แต่ไม่ใช้lsattrยูทิลิตี้ของระบบเดียวกันซึ่งเป็นเจ้าของโดยผู้ใช้รูทรายเดียวกัน)

การใช้find -execจะช้าเกินไปที่แยกการส่งออกของlsattrเป็นที่ไม่น่าเชื่อถือในทำนองเดียวกันกับที่lsใช้หลามในขณะที่คำตอบโดย Gillesต้องเลือกอย่างต่อเนื่องสำหรับการioctlขึ้นอยู่กับว่าล่ามงูหลามเป็น 32 หรือ 64 บิต ...

ปัญหาที่เกิดขึ้นอยู่ในระดับต่ำหรือต่ำดังนั้นให้ลงไปที่ระดับล่าง: C ++ ไม่เลวเท่าภาษาสคริปต์ :) เนื่องจากเป็นโบนัสมันสามารถเข้าถึงส่วนหัวของระบบ C ที่มีพรีโพรเซสเซอร์ C แบบเต็ม

โปรแกรมต่อไปนี้ค้นหาไฟล์ที่ไม่เปลี่ยนรูปอยู่ภายในระบบไฟล์เดียวนั่นคือไม่เคยข้ามจุดเมานต์ ในการค้นหาต้นไม้ที่เห็นได้ชัดให้ข้ามจุดเมานท์ตามต้องการลบการFTW_MOUNTตั้งค่าสถานะในการnftwโทร นอกจากนี้ยังไม่ได้ติดตาม symlinks หากต้องการติดตามพวกเขาให้ลบการFTW_PHYSตั้งค่าสถานะ

#define _FILE_OFFSET_BITS 64
#include <iostream>
#include <stdio.h>
#include <fcntl.h>
#include <sys/ioctl.h>
#include <linux/fs.h>
#include <sys/stat.h>
#include <ftw.h>

bool isImmutable(const char* path)
{
    static const int EXT3_IMMUTABLE_FLAG=0x10;

    const int fd=open(path,O_RDONLY|O_NONBLOCK|O_LARGEFILE);
    if(fd<=0)
    {
        perror(("Failed to open file \""+std::string(path)+"\"").c_str());
        return false;
    }
    unsigned long attrs;
    if(ioctl(fd,FS_IOC_GETFLAGS,&attrs)==-1)
    {
        perror(("Failed to get flags for file \""+std::string(path)+"\"").c_str());
        close(fd);
        return false;
    }
    close(fd);
    return attrs & EXT3_IMMUTABLE_FLAG;
}

int processPath(const char* path, const struct stat* info, int type, FTW* ftwbuf)
{
    switch(type)
    {
    case FTW_DNR:
        std::cerr << "Failed to read directory: " << path << "\n";
        return 0;
    case FTW_F:
        if(isImmutable(path))
            std::cout << path << '\n';
        return 0;
    }
    return 0;
}

int main(int argc, char** argv)
{
    if(argc!=2)
    {
        std::cerr << "Usage: " << argv[0] << " dir\n";
        return 1;
    }
    static const int maxOpenFDs=15;
    if(nftw(argv[1],processPath,maxOpenFDs,FTW_PHYS|FTW_MOUNT))
    {
        perror("nftw failed");
        return 1;
    }
}

แทนที่จะไพพ์เอาต์พุตเป็น grep ทำไมไม่ใช้ awk เพื่อจับคู่ 'i' ในฟิลด์แรกของเอาต์พุตเท่านั้น?

lsattr -Ra 2>/dev/null /|awk '$1 ~ /i/ && $1 !~ /^\// {print}'

อันที่จริงฉันรันทุกวันผ่าน cron เพื่อสแกนไดเร็กทอรี / etc บนเซิร์ฟเวอร์นับร้อยและส่งเอาต์พุตไปยัง syslog ฉันสามารถสร้างรายงานรายวันผ่านทาง Splunk ได้:

lsattr -Ra 2>/dev/null /etc|awk '$1 ~ /i/ && $1 !~ /^\// {print "Immutable_file="$2}'|logger -p local0.notice -t find_immutable

ง่ายมากไปที่โฟลเดอร์ suspect และรันคำสั่ง:

lsattr -laR | grep *immutable