首页
学习
活动
专区
圈层
工具
发布
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    修改后门ctime | Linux 后门系列

    ,文件创建时间,在 Centos Stream 中叫做 created time,在 Ubuntu中叫 Birth time 0x01 ctime 简介 文件状态变化,ctime 就会变化,例如以下信息变化...ctime是随着改变而改变的 0x02 修改 ctime 的理论方法 由于ctime的特性,我觉得这个问题可以从三个角度去考虑 改变更新文件时间戳的应用运行状态 改变当前时间 改变展示系统时间戳的应用以及属性...改变当前时间 系统的ctime 更改采用的时间是当前系统时间,那么也就是说如果把系统时间手动设置为 2008年1月1日,再对文件状态进行更改,那么最终留下的 ctime 就是 2008年1月1日的了 但是改变系统时间可不是一件小事...改变展示系统时间戳的应用以及属性 一般大家都用 stat 来查看文件的完整时间戳,修改 stat 命令来改变展示的 ctime 不是一件难事 但是,可以获取文件 ctime 的应用不止 stat 一款,...所以可以查看 stat 的源代码,看一下 stat 应用是如何获取和管理 ctime 的,针对其调用的方法进行系统性地修改应该也是可以实现修改文件 ctime 的 0x03 系统时钟与硬件时钟 Linux

    6.4K20

    应急响应中的文件时间:mtime、atime、ctime

    mtime改变时ctime肯定改变所以mtime等于或早于ctime,ctime改变时mtime不改变所以mtime早于ctime,因此:mtime不可能晚于ctime。...Linux更新mtime和atime和ctime: touch 文件名:若不存在文件,创建空文件;若存在文件,更新mtime和atime和ctime touch -m 文件名:若不存在文件,创建空文件;...若存在文件,更新mtime和ctime touch -a 文件名:若不存在文件,创建空文件;若存在文件,更新atime和ctime touch -c 文件名:若不存在文件,不创建空文件;若存在文件,更新...2、如果攻击者偷懒,篡改ctime时,只篡改了日期,没有篡改时间,系统默认就从00:00:00开始。所以如果ctime距离0点很近,说明文件时间大概率被篡改过。...4、mtime改变时ctime肯定改变所以mtime等于或早于ctime,ctime改变时mtime不改变所以mtime早于ctime,因此:mtime不可能晚于ctime。

    72410
    领券