linux被人建后门，向外发数据，怎么查找后门？

chuanjiesun

linux被人建后门，向外部一个IP发数据，怎么查找后门？怎么找到发包的程序的位置？
有没有一些工具可以监控是哪些程序向外部网络建立连接信息的？

shang2010

找运维经理啊，别告诉我是小公司，没人，就你一个人抗

chuanjiesun

就是都不懂，才问一下，有什么方法或思路？回复 2# shang2010


   

xinglp

netstat -p

dengbao2001

如果被写入了后门，系统自带的软件极可能被更改了，此时，寻找后门不是很好的解决方案

断网，重装系统，最好相关防护

phanx

Systemtap可以探测到发送数据包的进程。
对于TCP
stap -e 'probe tcp.sendmsg {printf("%s: %d\n", execname(), size);}'
对于UDP
stap -e 'probe udp.sendmsg {printf("%s: %d\n", execname(), size);}'


除了需要安装systemtap包以外，还需要对应版本的kernel-debuginfo-common 和 kernel-debuginfo以及systemtap-devel包
才能运行以上命令。

yyu0378

既然没技术，重做是最简单的方式，简单暴力，然后打好补丁设定好防火墙

dengbao2001

简单的用系统自大的命令来检测绝对不可取，谁都不能担保系统文件已经被改造过的

lyhabc

试一下wireshark和tcpdump呗
看一下数据包发到哪里的


tcpdump -nn -s0   -i  eth0   -w 1.cap

放到Windows下的wireshark图形界面做分析


wireshark --> tshark

chenyx

回复 8# dengbao2001


    看来需要对常用的命令进行保护性拷贝