Ders 1.39: Dosya zaman çizelgeleri ve zaman damgası oynama
Her dosya dört zaman taşır: erişim, değiştirme, durum değişikliği ve doğum. Değiştirme zamanı touch -d ile herhangi bir şeye ayarlanabilir; saldırganlar bunu yerleştirdikleri bir dosyayı yıllarca eski gösterecek şekilde kullanır (zaman damgası oynama). Durum değişikliği zamanı hiçbir kullanıcı komutuyla ayarlanamaz: içerik ya da üst veri değiştiğinde, touch değiştirme zamanını yeniden yazdığında da dahil, çekirdek onu şimdiye taşır. Laboratuvarda saldırganın oturumu sırasında neyin değiştiğini önce değiştirme zamanına, sonra durum değişikliği zamanına göre listeliyor, yalnızca ikinci aramanın ortaya çıkardığı dosyayı buluyor ve stat çıktısındaki ipuçlarını okuyorsun.
19 dk
Bu derste öğreneceklerin
- atime, mtime, ctime ve doğum zamanını açıklamak
- Bir zaman penceresini find -newermt ve -newerct ile aramak
- stat çıktısında zaman damgası oynamayı fark etmek
- Değişmiş bir dosyayı nasıl çalıştığına bağlamak
- Bir zaman çizelgesi yazmak
Temel terimler
- atime
- Son erişim (okuma). Çoğu zaman tembelce güncellenir (relatime).
- mtime
- İçeriğin son değişikliği; ls -l'nin gösterdiği. touch -d ile ayarlanabilir.
- ctime
- İçeriğin ya da üst verinin (kip, sahip, zamanlar) son değişikliği. Çekirdek şimdiye ayarlar; hiçbir kullanıcı komutu onu seçemez.
- Doğum zamanı
- Dosyanın (inode) oluşturulduğu an; ext4 ve XFS onu tutar, stat gösterir.
- Zaman damgası oynama
- Bir dosyanın zamanlarını araya karışsın diye değiştirmek.
- find -newerXY
- Her dosyanın X zamanını bir referansın Y zamanıyla karşılaştırır: -newermt TARİH (değiştirme), -newerct TARİH (durum değişikliği).
← Diski hâlâ dolduran silinmiş dosyalar · Tüm dersler · osquery ile kalıcılık avı →