查找扫描 smb 端口的恶意代码

Question

我的网络管理员说我们的服务器正在尝试扫描端口 445。我们使用服务器有两个原因。1. 网络服务器，2. 我们同事笔记本电脑的网关。

我如何才能找到恶意代码？我如何才能知道它是否在我们的服务器中运行？

Answer 1

如果恶意进程已绑定到端口，您可能能够使用 来识别该进程netstat -ltnp | grep 445。然后，您可以使用ps ax | grep YOUR_PID将 netstat 返回的进程 ID 映射到实际运行的代码。

如果这对你不起作用，那么你可以安装失败禁止（即使您没有遇到问题，这也不是一个坏主意）并让它找出是什么在不断扫描该端口。仅供参考，端口 445 由 Samba 使用，因此请关注与文件共享相关的内容，以快速缩小问题范围。