Prevenção e rastreamento de um ataque

É possível recuperar arquivos excluídos pelo comando rm do Linux, mas esta é uma técnica que envolve um grande conhecimento do sistema por quem vai executar.

Todos os arquivos no sistema UNIX são armazenados em locais físicos do disco, denominadas ' inodes '. Lá se encontram todas as informações sobre um arquivo no sistema, como última alteração e execução.

Outro ponto importante dos inodes é que lá constam o tamanho do arquivo e uma lista de blocos de dados. Quando um arquivo é excluído no sistema, o tamanho do arquivo e sua lista de blocos de dados são definidos para zero, mas os dados nos inodes não são excluídos.

Portanto, para recuperar um arquivo excluído, você precisará das informações contidas no inode para reconstruir a estrutura do arquivo. Para encontrar o inode de um arquivo utilize o comando ls:

# ls -i /etc/arquivo
55485 /etc/arquivo

55485 é o inode do arquivo. Para visualizar este arquivo você poderá utilizar um editor simples, como pico ou vi:

# vi /etc/arquivo

Agora é possível visualizar o arquivo pelo seu numero de inode, mesmo se ele for excluído. Uma ferramenta para executar esse procedimento é o icat, disponível no pacote TCT:

• http://www.porcupine.org/forensics/tct.html

Para executar o icat e visualizar um arquivo pelo inode, utilize o comando abaixo:

# icat /dev/hda1 55485

Você simplesmente visualizará o arquivo /etc/arquivo, mesmo se ele tiver sido excluído! :)