Como localizar/listar arquivo(s) em um servidor ubuntu que o proprietário (dono do arquivo) não é o

lipemh
(usa Ubuntu)

Enviado em 05/09/2016 - 10:45h

Olá, preciso achar todos os arquivos que não foram criados pelo root, pois algum deles estão foram criados por hackers. Alguém pode me ajudar?

conectadohost
(usa XUbuntu)

Enviado em 05/09/2016 - 11:27h

Olá,
ai complica por que normalmente se usa comando pra procurar arquivos pela extensão
e não todo tipo de arquivo.
rapaz se hacker invadiu é melhor formatar tudo do que perder tempo procurando.

---> Márcio M M <---

lipemh
(usa Ubuntu)

Enviado em 05/09/2016 - 12:12h

Muito obrigado pela ajuda.

Achei alguns dos scripts que ele está utilizando para enviar os spans, estou buscando pelo conteúdo do arquivo, acho que consegui achar todos os arquivos criados pelo hacker, porém o ideal seria procurar pelos arquivos que não foram criados pelo usuário root, porém não sei se é possível.
Se alguém souber como eu agradeço.

OBS: Eu desabilitei o envio pelo sendmail, só é possível enviar e-mails via SMTP. Todos os arquivos e pastas não tem permissão para gravar (publico) e coloquei várias regras no firewall. Mas como ainda tinha alguns arquivos "infectados" ele ainda conseguia enviar...

conectadohost
(usa XUbuntu)

Enviado em 05/09/2016 - 12:21h

Olá,
você pode procurar algum usuario estranho
pois quando é feita alguma invasão eles sempre vão criar um usuario para que eles possam
usar esse usuario para fazer os danos no servidor.

cat /etc/passwd 

 

você encontrara todos os usuarios do servidor
o usuario normalmente terá acesso ao shell mas não como root
caso ele tenha acesso ao root ai tem que formatar mesmo
pois como root ele pode ter instalado programas ou jogando arquivos que você nunca encontrara


---> Márcio M M <---

rai3mb
(usa Outra)

Enviado em 06/09/2016 - 09:05h

Se foi invadido, ele também pode ter virado root e criado arquivos, com esta permissão.

Mas se insiste na sua busca, pode usar o find (veja mais detalhes usando o man find)

find . -user root

 

* o comando acima mostra os arquivos a partir do diretório corrente que o root é o dono, depois vc pode fazer o ver quais arquivos não estão nessa lista.

lipemh
(usa Ubuntu)

Enviado em 06/09/2016 - 10:13h

o server possui vários sites e muitos arquivos, não seria possível verificar quais não foram listados. Eu preciso de um comando que mostre quais arquivos não possui o root como proprietário... mas muito obrigado!

lipemh
(usa Ubuntu)

Enviado em 17/10/2016 - 12:23h

Olá preciso listar todos os arquivos PHP que o proprietário não é o root, ou que o proprietário é um usuário especifico, alguém sabe?

sn8ker
(usa Debian)

Enviado em 17/10/2016 - 13:51h

Para listar todos os arquivos que têm extenção .php e o proprietário não é root :

find / -iname *.php -not -user root -ls 

Para um usuário específico:

find / -iname *.php -user usuario -ls 

lipemh
(usa Ubuntu)

Enviado em 17/10/2016 - 16:44h

# find ./ -user NOME_DO_USUARIO -name "*.php"