Chinaunix

标题: 恶意进程[.ECC6DFE919A382]这样的进程代表什么含义？ [打印本页]

作者: abcfy2 时间: 2014-07-17 19:52
标题: 恶意进程[.ECC6DFE919A382]这样的进程代表什么含义？
这种带中括号的进程代表什么意思？怎么产生的？为什么和普通的进程显示进程名不一样？

今天服务器被挂马了，最终定位到的恶意进程就是这玩意，根本不知道是什么玩意，到底在做什么。也就是说没有找到攻击者的攻击途径，以及这个进程到底在哪，做了什么，下次还有被攻击的可能。

详细的折腾过程写到博客了： http://my.oschina.net/abcfy2/blog/292159

作者: abcfy2 时间: 2014-07-17 20:01
后记：又发现了好玩的东西，这个tomcat7用户居然还启动了其他可疑的[]进程

ps aux | grep tomcat
tomcat7 20092 0.0 0.0 349264 612 ? Ssl 05:48 0:20 [freeBSD]

作者: yestreenstars 时间: 2014-07-17 23:31
学习了，楼主居然还觉得好玩~PFPF~

作者: phanx 时间: 2014-07-17 23:37
一般都是做肉鸡，做DDOS攻击的参与点。你抓包分析一下数据包就知道了。

作者: abcfy2 时间: 2014-07-18 09:28
又有新的更新内容了，居然多了一个perl脚本，实在是搞不明白从哪挂马的

作者: phanx 时间: 2014-07-18 09:35
你要检查你对外开放的服务和端口，大概有些什么远程执行的漏洞。或者你的应用上就存在远程执行的漏洞。而且权限还给得挺高。检查登录记录，看看拿到你的账号没有。估计应该是都有了。

重装吧，然后打好各种服务的补丁，如果是自己的应用有漏洞，那就麻烦了，只有让应用开发人员补应用。

作者: jimmy14k 时间: 2014-07-18 11:11
本帖最后由 jimmy14k 于 2014-07-18 11:12 编辑

做下系统漏洞检测和web漏洞检测

项目上线，都不做渗透测试的么？？？？

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)