| 查看 | lsattr 文件名 |
|---|---|
| 特征 | 输出含 i 标志即不可变 |
| 处置 | chattr -i 解锁后才能删改 |
| 注意 | 目录也能加 i，阻止新建与删除 |
查找被加锁的文件
查找被加锁的文件
lsattr /usr/bin/* /etc/cron.d/* /usr/local/* 2>/dev/null | grep -- '---i'
chattr -i /path/suspect.bin
lsattr /path/suspect.bin # 确认解锁后再处理解锁前先记录 lsattr 输出与文件哈希：属性本身就是攻击痕迹。