如何使用库包检测正在运行的进程？

Question 1

这是一种迂回且极其不准确的方法。您知道库文件的位置，因此不需要使用启发式方法来匹配它，您可以搜索确切的路径。

有一种非常简单的方法可以列出打开文件的进程：

fuser /lib/x86_64-linux-gnu/libc.so.6

然而，这列出了具有当前的打开文件的版本，即使用库的新副本的进程。如果要列出具有已删除副本的进程，可以使用lsof，但要搜索确切的路径。限制lsof包含已删除文件的文件系统以提高性能（并可能避免阻塞，例如暂时无法访问的网络文件系统）。

lsof -o / | awk '$4 == "DEL" && $8 == "/lib/x86_64-linux-gnu/libc-2.13.so" {print $2}'

如果升级后的包包含多个库并且您想要检测任何库，请列出包中的所有库文件。这是一种以编程方式执行此操作的方法（对于 Debian 软件包，根据您的发行版进行调整，例如rpm -ql glibc在 Red Hat 上）。

lsof -o / | awk '
   BEGIN {
       while (("dpkg -L libc6:amd64 | grep \\\\.so\\$" | getline) > 0)
           libs[$0] = 1
   }
   $4 == "DEL" && $8 in libs {print $2}'

Answer

这是一种迂回且极其不准确的方法。您知道库文件的位置，因此不需要使用启发式方法来匹配它，您可以搜索确切的路径。

有一种非常简单的方法可以列出打开文件的进程：

fuser /lib/x86_64-linux-gnu/libc.so.6

然而，这列出了具有当前的打开文件的版本，即使用库的新副本的进程。如果要列出具有已删除副本的进程，可以使用lsof，但要搜索确切的路径。限制lsof包含已删除文件的文件系统以提高性能（并可能避免阻塞，例如暂时无法访问的网络文件系统）。

lsof -o / | awk '$4 == "DEL" && $8 == "/lib/x86_64-linux-gnu/libc-2.13.so" {print $2}'

如果升级后的包包含多个库并且您想要检测任何库，请列出包中的所有库文件。这是一种以编程方式执行此操作的方法（对于 Debian 软件包，根据您的发行版进行调整，例如rpm -ql glibc在 Red Hat 上）。

lsof -o / | awk '
   BEGIN {
       while (("dpkg -L libc6:amd64 | grep \\\\.so\\$" | getline) > 0)
           libs[$0] = 1
   }
   $4 == "DEL" && $8 in libs {print $2}'

Question 2

grep -w libc在本例中使用。您还可以用于ldd静态分析。

为了进行匹配，您需要使用正则表达式。grep '/libc-'在这里工作，但如果你想找到像 libcan 这样的东西，你可以使用类似的东西'/libcan\>'，其中\>强制在词尾进行匹配。

Answer

grep -w libc在本例中使用。您还可以用于ldd静态分析。

为了进行匹配，您需要使用正则表达式。grep '/libc-'在这里工作，但如果你想找到像 libcan 这样的东西，你可以使用类似的东西'/libcan\>'，其中\>强制在词尾进行匹配。

Question 3

测试 GHOST 漏洞（我们之前发现的所有内容）：

wget https://gist.githubusercontent.com/koelling/ef9b2b9d0be6d6dbab63/raw/de1730049198c64eaf8f8ab015a3c8b23b63fd34/gistfile1.c
gcc gistfile1.c -o CVE-2015-0235
./CVE-2015-0235

来源

Answer

测试 GHOST 漏洞（我们之前发现的所有内容）：

wget https://gist.githubusercontent.com/koelling/ef9b2b9d0be6d6dbab63/raw/de1730049198c64eaf8f8ab015a3c8b23b63fd34/gistfile1.c
gcc gistfile1.c -o CVE-2015-0235
./CVE-2015-0235

来源

如何使用库包检测正在运行的进程？

答案1

答案2

答案3

相关内容