痛苦地删除了Perl Rootkit
因此,我们在办公室托管了一个地理服务网络服务器。 显然有人闯入了这个盒子(可能是通过ftp或ssh),并放入了某种由irc管理的rootkit。 现在,我正在尝试清理整个过程,我发现进程pid试图通过irc连接,但是我不知道是谁在调用进程(已经使用ps,pstree和lsof查找)了,该进程是一个perl。脚本归www用户所有,但ps aux | grep在最后一列显示伪造的文件路径。 还有另一种方法来跟踪该pid并捕获调用方吗? 忘了说了:内核是2.6.23,可以利用它成为root,但是我不能过多地触摸这台机器,所以我不能升级内核 编辑:lsof可能会帮助: lsof -p 9481 命令PID用户FD类型设备大小节点名称ss perl 9481 www cwd DIR 8,2 608 2 / ss perl 9481 www rtd DIR 8,2 608 2 / ss perl 9481 www txt REG 8,2 1168928 38385 / usr / bin / perl5.8.8ss perl 9481 www …