그래서 현재 내 데비안 서버는 많은 발신 트래픽을 생성하고 있습니다. 손상되어 다른 대상을 공격하는 데 사용될 가능성이 가장 높습니다.
top 명령은 이것을 보여줍니다
PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
15913 www-data 20 0 23268 920 696 R 7.0 0.1 525:25.24 -
10960 www-data 20 0 23268 2272 748 R 6.7 0.2 6137:34 -
10963 www-data 20 0 23268 2224 736 R 6.7 0.2 116:30.51 -
10972 www-data 20 0 23268 2368 736 R 6.7 0.2 116:16.23 -
10975 www-data 20 0 23268 2312 736 R 6.7 0.2 116:16.52 -
13509 www-data 20 0 10416 188 168 R 6.7 0.0 1242:09 64
15916 www-data 20 0 23268 2344 744 R 6.7 0.2 116:21.48 -
15925 www-data 20 0 23268 2336 744 R 6.7 0.2 116:21.37 -
15928 www-data 20 0 23268 2264 744 R 6.7 0.2 116:21.44 -
17906 www-data 20 0 23268 2276 748 R 6.7 0.2 115:09.06 -
18191 www-data 20 0 10416 224 204 R 6.7 0.0 275:54.55 64
17893 www-data 20 0 23268 2288 748 R 6.3 0.2 115:09.14 -
19789 www-data 20 0 23268 1124 708 R 6.3 0.1 19:33.81 -
26644 www-data 20 0 258m 17m 7108 S 4.7 1.7 0:09.78 apache2
26754 www-data 20 0 256m 11m 4900 R 3.0 1.1 0:00.72 apache2
2832 mysql 20 0 748m 75m 3012 S 1.7 7.5 194:48.84 mysqld
17890 www-data 20 0 29440 2456 852 S 0.7 0.2 8:26.73 -
17903 www-data 20 0 29440 2452 852 S 0.7 0.2 8:27.18 -
19786 www-data 20 0 29440 2452 852 S 0.7 0.2 6:03.52 -
19773 www-data 20 0 29440 2452 852 S 0.3 0.2 6:03.28 -
19776 www-data 20 0 23268 2304 708 S 0.3 0.2 1:05.50 -
20044 www-data 20 0 23268 2364 708 S 0.3 0.2 1:02.34 -
26760 www-data 20 0 23268 2332 712 S 0.3 0.2 1520:05 -
26765 tyron 20 0 79820 1608 780 S 0.3 0.2 0:00.05 sshd
27145 www-data 20 0 23268 2368 696 S 0.3 0.2 4:00.71 -
1 root 20 0 10656 124 100 S 0.0 0.0 0:04.71 init
2 root 20 0 0 0 0 S 0.0 0.0 0:00.00 kthreadd
"-"를 명령으로 사용하는 프로세스는 무엇입니까? 소스를 추적하는 방법은 무엇입니까? 분명히 www-data가 사용자이기 때문에 공격은 http 서버를 통해 이루어집니다. 그러나 어떻게 될까요? 왜? 어디? 오오
답변1
다음 명령을 사용하여 실행 파일 찾기를 시작할 수 있습니다
ls -l /proc/<PID>/exe
그런 다음 다음 명령을 실행하여 작성자(상위 PID)를 찾을 수 있습니다.
ps -p <PID> -o ppid=:wq
시작점을 찾을 때까지 검색하세요.
init 스크립트, 전역 및 사용자별 cron 작업, 스크립트, rc.local 파일과 같은 일반적인 자동 실행 지점을 확인할 수도 있습니다. 추가할 사항이 한 가지 더 있습니다. Google을 확인하세요. 동일한 게시물이 많이 있습니다.