iptable의 성장

Question 1

다음을 수행하십시오.

sudo iptables-save > /tmp/ipt.dump1

몇 초 후에

sudo iptables-save > /tmp/ipt.dump2

그러니 포스팅해주세요diff -u /tmp/ipt.dump1 /tmp/ipt.dump2

적어도 당신은 당신이 무엇을 다루고 있는지 알게 될 것입니다.

최후의 수단으로 다음을 수행하겠습니다.

sudo mv /sbin/iptables /sbin/iptables.real

그런 다음 다음과 같은 bash 스크립트를 만듭니다.

#! /bin/bash
echo "`date`: I was called by $PPID `readlink /proc/$PPID/exe` " >> /tmp/iptables.log
/sbin/iptables.real "$@"

이를 통해 어떤 프로세스가 지속적으로 호출되는지 확인할 수 있습니다 iptables.

Answer

다음을 수행하십시오.

sudo iptables-save > /tmp/ipt.dump1

몇 초 후에

sudo iptables-save > /tmp/ipt.dump2

그러니 포스팅해주세요diff -u /tmp/ipt.dump1 /tmp/ipt.dump2

적어도 당신은 당신이 무엇을 다루고 있는지 알게 될 것입니다.

최후의 수단으로 다음을 수행하겠습니다.

sudo mv /sbin/iptables /sbin/iptables.real

그런 다음 다음과 같은 bash 스크립트를 만듭니다.

#! /bin/bash
echo "`date`: I was called by $PPID `readlink /proc/$PPID/exe` " >> /tmp/iptables.log
/sbin/iptables.real "$@"

이를 통해 어떤 프로세스가 지속적으로 호출되는지 확인할 수 있습니다 iptables.

Question 2

이 awk 스크립트는 누가 iptables를 호출하는지 찾는 데 도움이 될 수 있습니다. execsnoop()의 출력을 프로세스 트리로 통합합니다 pid ppid command .... 부모는 들여쓰기를 하고 자식 뒤에 나타납니다. 죄송합니다. 시간이 더 있으면 pstree처럼 보이도록 만들 수 있지만 아마도 효과가 있을 것입니다.

몇 초 동안 execsnoop을 실행하고 출력을 파일로 전송한 다음 해당 파일의 입력을 사용하여 실행합니다.

awk -v search=iptables '
    $1 ~ /^[0-9]+$/ {
        p = $1
        ppid[p] = $2
        # command is in $3..$NF, so we'll
        # remove the first 2 fields, then store $0
        for (i = 3; i <= NF; i++) {
            $(i-2) = $i
        }
        NF -= 2
        cmd[p] = $0
    }
    END {
        for (p in cmd) {
            if (cmd[p] ~ search) {
                prefix = ""
                do {
                    print prefix, p, cmd[p]
                    p = ppid[p]
                    prefix = prefix " "
                } while (p)
            }
        }
    }'

Answer

이 awk 스크립트는 누가 iptables를 호출하는지 찾는 데 도움이 될 수 있습니다. execsnoop()의 출력을 프로세스 트리로 통합합니다 pid ppid command .... 부모는 들여쓰기를 하고 자식 뒤에 나타납니다. 죄송합니다. 시간이 더 있으면 pstree처럼 보이도록 만들 수 있지만 아마도 효과가 있을 것입니다.

몇 초 동안 execsnoop을 실행하고 출력을 파일로 전송한 다음 해당 파일의 입력을 사용하여 실행합니다.

awk -v search=iptables '
    $1 ~ /^[0-9]+$/ {
        p = $1
        ppid[p] = $2
        # command is in $3..$NF, so we'll
        # remove the first 2 fields, then store $0
        for (i = 3; i <= NF; i++) {
            $(i-2) = $i
        }
        NF -= 2
        cmd[p] = $0
    }
    END {
        for (p in cmd) {
            if (cmd[p] ~ search) {
                prefix = ""
                do {
                    print prefix, p, cmd[p]
                    p = ppid[p]
                    prefix = prefix " "
                } while (p)
            }
        }
    }'

Question 3

알고보니 바이러스였군요...

내가 열었다또 다른 스택 교환 게시물다음에해야 할 일에 대해.

이 답변은 제 구체적인 사례에 대한 답변이기 때문에 수락합니다. 하지만 근본적인 원인을 추적하는 데 정말 유용한 도구를 제공하는 의견과 기타 답변을 확인하세요.

Answer

알고보니 바이러스였군요...

내가 열었다또 다른 스택 교환 게시물다음에해야 할 일에 대해.

이 답변은 제 구체적인 사례에 대한 답변이기 때문에 수락합니다. 하지만 근본적인 원인을 추적하는 데 정말 유용한 도구를 제공하는 의견과 기타 답변을 확인하세요.

iptable의 성장

편집 #1

편집 #2

답변1

답변2

답변3

관련 정보