reverse engineer di Linux per trovare l'origine del processo

1

Un sito wordpress compromesso ha avviato diversi processi eseguiti come utente apache. Posso trovare questi processi eseguendo ps e greping per l'utente apache. Quindi prendo uno degli ID processo ed eseguo lsof contro di esso per vedere che ha aperto un sacco di socket tcp per inviare posta a vari destinatari, ma non vedo il file reale che è la radice di tutto questo. Come posso approfondire ulteriormente per scoprire come tutto questo è iniziato? Ecco un esempio di uno dei processi:

~# lsof | grep 26098
    /sbin/ude 26098   www-data  cwd       DIR              252,0     4096          2 /
    /sbin/ude 26098   www-data  rtd       DIR              252,0     4096          2 /
    /sbin/ude 26098   www-data  txt       REG              252,0    10376     150473 /usr/bin/perl
    /sbin/ude 26098   www-data  mem       REG              252,0    22880     143572 /usr/lib/perl/5.14.2/auto/File/Glob/Glob.so
    /sbin/ude 26098   www-data  mem       REG              252,0    35176     143571 /usr/lib/perl/5.14.2/auto/Socket/Socket.so
    /sbin/ude 26098   www-data  mem       REG              252,0    18632     143564 /usr/lib/perl/5.14.2/auto/IO/IO.so
    /sbin/ude 26098   www-data  mem       REG              252,0   105720     143562 /usr/lib/perl/5.14.2/auto/POSIX/POSIX.so
    /sbin/ude 26098   www-data  mem       REG              252,0    18600     143570 /usr/lib/perl/5.14.2/auto/Fcntl/Fcntl.so
    /sbin/ude 26098   www-data  mem       REG              252,0  2919792     137135 /usr/lib/locale/locale-archive
    /sbin/ude 26098   www-data  mem       REG              252,0    43288    1329383 /lib/x86_64-linux-gnu/libcrypt-2.15.so
    /sbin/ude 26098   www-data  mem       REG              252,0   135366    1329380 /lib/x86_64-linux-gnu/libpthread-2.15.so
    /sbin/ude 26098   www-data  mem       REG              252,0  1030512    1329394 /lib/x86_64-linux-gnu/libm-2.15.so
    /sbin/ude 26098   www-data  mem       REG              252,0    14768    1329387 /lib/x86_64-linux-gnu/libdl-2.15.so
    /sbin/ude 26098   www-data  mem       REG              252,0  1815224    1329389 /lib/x86_64-linux-gnu/libc-2.15.so
    /sbin/ude 26098   www-data  mem       REG              252,0  1558296     143547 /usr/lib/libperl.so.5.14.2
    /sbin/ude 26098   www-data  mem       REG              252,0   149280    1329381 /lib/x86_64-linux-gnu/ld-2.15.so
    /sbin/ude 26098   www-data    0r      CHR                1,3      0t0       5014 /dev/null
    /sbin/ude 26098   www-data    1w      CHR                1,3      0t0       5014 /dev/null
    /sbin/ude 26098   www-data    2w      CHR                1,3      0t0       5014 /dev/null
    /sbin/ude 26098   www-data    3u     IPv4           51672921      0t0        TCP 172.24.14.51:51017->10.81.54.194:smtp (SYN_SENT)
    /sbin/ude 26098   www-data    4w     FIFO                0,8      0t0   33237048 pipe
    /sbin/ude 26098   www-data    5r     FIFO                0,8      0t0   33237049 pipe
    /sbin/ude 26098   www-data    6w     FIFO                0,8      0t0   33237073 pipe
    /sbin/ude 26098   www-data    7r     FIFO                0,8      0t0   33237074 pipe

linux process lsof

— crb
fonte

puoi pubblicare il risultato di ps -ef | grep 26098?

# ps -ef | grep 26098 root 6414 2349 0 11:39 pts / 1 00:00:00 grep --color = auto 26098 www-data 26098 1 5 ago 15? 05:42:49 / sbin / udevd

— crb

1

Esegui pstree -p | lessper ottenere un elenco completo dei processi in esecuzione sul tuo sistema, quindi cerca 26098e vedi chi è il suo genitore, quindi il nonno ecc. Da qualche parte in quell'albero c'è la tua risposta.

— John Zwinck
fonte

Sono processi orfani quindi cadono sotto init. Sono sicuro che sono rimasti orfani apposta per rendere difficile trovare la fonte. init (1) - + - / sbin / udevd (26098)

— crb

0

Non sono riuscito a trovare un modo per rilevare l'origine, ma nel mio caso il bot è stato scoperto da Clamav ed era nella directory / var / tmp.

— Eduard Pertíñez
fonte

1

puoi modificare la tua risposta e fornire all'OP maggiori informazioni?

— Sam,