![Linux 逆向工程查找进程源](https://linux22.com/image/1419948/Linux%20%E9%80%86%E5%90%91%E5%B7%A5%E7%A8%8B%E6%9F%A5%E6%89%BE%E8%BF%9B%E7%A8%8B%E6%BA%90.png)
一个被入侵的 wordpress 网站启动了几个以 apache 用户身份运行的进程。我可以通过运行 ps 和 greping 来查找 apache 用户,从而找到这些进程。然后,我获取其中一个进程 ID 并对其运行 lsof,结果发现它已打开一堆 tcp 套接字以向各个收件人发送邮件,但我看不到所有这些的根源文件。我如何进一步深入研究以找出所有这些是如何启动的?以下是其中一个进程的示例:
~# lsof | grep 26098
/sbin/ude 26098 www-data cwd DIR 252,0 4096 2 /
/sbin/ude 26098 www-data rtd DIR 252,0 4096 2 /
/sbin/ude 26098 www-data txt REG 252,0 10376 150473 /usr/bin/perl
/sbin/ude 26098 www-data mem REG 252,0 22880 143572 /usr/lib/perl/5.14.2/auto/File/Glob/Glob.so
/sbin/ude 26098 www-data mem REG 252,0 35176 143571 /usr/lib/perl/5.14.2/auto/Socket/Socket.so
/sbin/ude 26098 www-data mem REG 252,0 18632 143564 /usr/lib/perl/5.14.2/auto/IO/IO.so
/sbin/ude 26098 www-data mem REG 252,0 105720 143562 /usr/lib/perl/5.14.2/auto/POSIX/POSIX.so
/sbin/ude 26098 www-data mem REG 252,0 18600 143570 /usr/lib/perl/5.14.2/auto/Fcntl/Fcntl.so
/sbin/ude 26098 www-data mem REG 252,0 2919792 137135 /usr/lib/locale/locale-archive
/sbin/ude 26098 www-data mem REG 252,0 43288 1329383 /lib/x86_64-linux-gnu/libcrypt-2.15.so
/sbin/ude 26098 www-data mem REG 252,0 135366 1329380 /lib/x86_64-linux-gnu/libpthread-2.15.so
/sbin/ude 26098 www-data mem REG 252,0 1030512 1329394 /lib/x86_64-linux-gnu/libm-2.15.so
/sbin/ude 26098 www-data mem REG 252,0 14768 1329387 /lib/x86_64-linux-gnu/libdl-2.15.so
/sbin/ude 26098 www-data mem REG 252,0 1815224 1329389 /lib/x86_64-linux-gnu/libc-2.15.so
/sbin/ude 26098 www-data mem REG 252,0 1558296 143547 /usr/lib/libperl.so.5.14.2
/sbin/ude 26098 www-data mem REG 252,0 149280 1329381 /lib/x86_64-linux-gnu/ld-2.15.so
/sbin/ude 26098 www-data 0r CHR 1,3 0t0 5014 /dev/null
/sbin/ude 26098 www-data 1w CHR 1,3 0t0 5014 /dev/null
/sbin/ude 26098 www-data 2w CHR 1,3 0t0 5014 /dev/null
/sbin/ude 26098 www-data 3u IPv4 51672921 0t0 TCP 172.24.14.51:51017->10.81.54.194:smtp (SYN_SENT)
/sbin/ude 26098 www-data 4w FIFO 0,8 0t0 33237048 pipe
/sbin/ude 26098 www-data 5r FIFO 0,8 0t0 33237049 pipe
/sbin/ude 26098 www-data 6w FIFO 0,8 0t0 33237073 pipe
/sbin/ude 26098 www-data 7r FIFO 0,8 0t0 33237074 pipe
答案1
运行pstree -p | less
以获取系统上运行的进程的完整列表,然后搜索26098
并查看它的父进程是谁,然后是祖父进程等等。那棵树上的某个地方就是您的答案。
答案2
我没能找到检测源代码的方法,但就我而言,该机器人被 clamav 发现并位于 /var/tmp 目录中。