Linux 取证135 条

文件属性（chattr/lsattr）核查

不可变（+i）与仅追加（+a）属性可阻止日志与配置被修改，攻击者也会用它锁定后门；核查属性是完整性检查的一部分。

命令	lsattr、chattr
属性	+i 不可变、+a 仅追加、+e 扩展区

核查

lsattr /etc/passwd /bin/bash /var/log/auth.log 2>/dev/null
lsattr -R /etc/cron.d 2>/dev/null | head

恢复属性需要 root 且会被记录；先拍照记录原始属性再考虑调整。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌