不断增长的 iptables

Question 1

请执行以下操作：

sudo iptables-save > /tmp/ipt.dump1

几秒钟后

sudo iptables-save > /tmp/ipt.dump2

那么请发帖diff -u /tmp/ipt.dump1 /tmp/ipt.dump2

至少你会知道你正在处理什么。

作为最后的手段，我会执行以下操作：

sudo mv /sbin/iptables /sbin/iptables.real

然后创建一个 bash 脚本，例如

#! /bin/bash
echo "`date`: I was called by $PPID `readlink /proc/$PPID/exe` " >> /tmp/iptables.log
/sbin/iptables.real "$@"

这将使您找出哪个进程在iptables不断调用。

Answer

请执行以下操作：

sudo iptables-save > /tmp/ipt.dump1

几秒钟后

sudo iptables-save > /tmp/ipt.dump2

那么请发帖diff -u /tmp/ipt.dump1 /tmp/ipt.dump2

至少你会知道你正在处理什么。

作为最后的手段，我会执行以下操作：

sudo mv /sbin/iptables /sbin/iptables.real

然后创建一个 bash 脚本，例如

#! /bin/bash
echo "`date`: I was called by $PPID `readlink /proc/$PPID/exe` " >> /tmp/iptables.log
/sbin/iptables.real "$@"

这将使您找出哪个进程在iptables不断调用。

Question 2

这个 awk 脚本可能会帮助您找到谁在调用 iptables。它将 execsnoop 的输出 ( ) 拼凑成一个进程树pid ppid command ...。父母缩进并出现在孩子们之后，抱歉；如果有更多时间，我可以让它看起来像 pstree，但这可能可以。

运行 execsnoop 几秒钟，其输出转移到一个文件，然后使用该文件的输入运行它。

awk -v search=iptables '
    $1 ~ /^[0-9]+$/ {
        p = $1
        ppid[p] = $2
        # command is in $3..$NF, so we'll
        # remove the first 2 fields, then store $0
        for (i = 3; i <= NF; i++) {
            $(i-2) = $i
        }
        NF -= 2
        cmd[p] = $0
    }
    END {
        for (p in cmd) {
            if (cmd[p] ~ search) {
                prefix = ""
                do {
                    print prefix, p, cmd[p]
                    p = ppid[p]
                    prefix = prefix " "
                } while (p)
            }
        }
    }'

Answer

这个 awk 脚本可能会帮助您找到谁在调用 iptables。它将 execsnoop 的输出 ( ) 拼凑成一个进程树pid ppid command ...。父母缩进并出现在孩子们之后，抱歉；如果有更多时间，我可以让它看起来像 pstree，但这可能可以。

运行 execsnoop 几秒钟，其输出转移到一个文件，然后使用该文件的输入运行它。

awk -v search=iptables '
    $1 ~ /^[0-9]+$/ {
        p = $1
        ppid[p] = $2
        # command is in $3..$NF, so we'll
        # remove the first 2 fields, then store $0
        for (i = 3; i <= NF; i++) {
            $(i-2) = $i
        }
        NF -= 2
        cmd[p] = $0
    }
    END {
        for (p in cmd) {
            if (cmd[p] ~ search) {
                prefix = ""
                do {
                    print prefix, p, cmd[p]
                    p = ppid[p]
                    prefix = prefix " "
                } while (p)
            }
        }
    }'

Question 3

结果发现，这是病毒……

我打开了另一个堆栈交换帖子关于下一步该做什么。

我接受这个答案，因为它是我的具体案例的答案，但请务必检查评论和其他答案，它们提供了真正有用的工具来跟踪其潜在原因。

Answer

结果发现，这是病毒……

我打开了另一个堆栈交换帖子关于下一步该做什么。

我接受这个答案，因为它是我的具体案例的答案，但请务必检查评论和其他答案，它们提供了真正有用的工具来跟踪其潜在原因。

不断增长的 iptables

编辑#1

编辑#2

答案1

答案2

答案3

相关内容