如何检测linux中的隐藏进程？
发布时间：2020-12-13 18:22:57 所属栏目：Linux 来源：网络整理
导读：我们有一个盒子,我们怀疑它已经扎根于工作中.问题是我们如何找到它？我不是系统管理员,但我被带到团队解决这个问题,我很好奇哪里有好的地方可以寻找问题？ 我们怀疑这一点的原因是我们注意到机器上的网络利用率高于(通常看似是随机的)端口. 我们可以找到问题
|
我们有一个盒子,我们怀疑它已经扎根于工作中.问题是我们如何找到它？我不是系统管理员,但我被带到团队解决这个问题,我很好奇哪里有好的地方可以寻找问题？
我们怀疑这一点的原因是我们注意到机器上的网络利用率高于(通常看似是随机的)端口. 我们可以找到问题孩子怎么办？我们可以做些什么来保护未来？是否有监控可以让我们在将来意识到这一点？ (除了我们已经在密切关注的网络监控之外.) 在此先感谢,如果需要,我可以提供更多详细信息.感谢你的时间. 解决方法
您无法信任计算机上的任何系统工具. Rootkits将替换ps,netstat,ls等以隐藏它们的存在.你应该让机器离线,取出它的硬盘,制作一个取证副本(想想dd)然后在一台SEOncdary机器上工作来扫描rootkit.
如果你坚持使用现场机器(这通常是徒劳的),那么你可以尝试在CD上下载救援分发(非常重要的是副本是只读的)并使用它的ps,lsmod等副本. 即使这可能会失败,因为rootkit可以安装内核模块来隐藏/ proc中的条目,其中像ps这样的工具通常在其上运行. 祝好运！ （编辑：李大同） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |