פרויקט listps היא תכנית לינוקס קטנה כדי להציג את כל התהליכים הפועלים, כולל אלה מוסתרים. זה עובד עם מערכות קבצים proc / רק.
על מערכות התפשרו עם rootkits השונים, כמו לדוגמא suckit 1.3e, listps תוכל לפרט במפורש תהליכים נסתרים שבם פועלים.
הוא עושה זאת על ידי במפורש שאילתות מערכת הקבצים proc / למזהי תהליך בטווח 1-33,000.
תהליכים החליפו את מודפסים בparanthesis.
פלט דוגמא
בפגישה הבאה אני מתקין suckit 1.3e על תיבת לינוקס, להסתיר את שני תהליכים (Crond וsmbd) להשתמש listps לרשום אותם.
ראשית, בואו להתקין 1.3e suckit על המארח:
[Listps ארס @ שורש] -a # uname
Linux ares.sublevel3.org 2.4.20-20.7custom # 1 SMP ג 'ספטמבר 23 14:30:50 CEST 2,003 i686 לא ידוע
[Root @ listps ארס] # ./sksu
אני אוהב אותך מותק
הצג מתחיל מצב 0 מבחן
RK_Init: IDT = 0xc0328000, SCT [] = 0xc02c68e0
kma_hint = 0x00000000
kmalloc () = 0xc012fcb0, GFP = 0x1f0
Z_Init: זיכרון-ליבת קוד הקצאה ... KINIT (0xd04d9c64) SCT 0xc02c68e0
SCTP 0xbfffcde0 oldsys 0xc010cf40
עשה, 11,635 בתים, בסיס = 0xd04d8000
עכשיו בואו להסתיר Crond וsmbd (PIDs 577 ו613):
[Root @ listps ארס] # ./sksu
אני אוהב אותך מותק
גרסה זוהתה: 1.3e
שימוש:
./sksu [args]
מטרת מתקן בדיקת - לא
F - כוח מייצב
u - הסרת התקנה
i - להפוך את מח"ש בלתי נראה
v - להפוך גלוי מח"ש
F [0/1] - מסתור קובץ לעבור
מסתור PID לעבור - [0/1] עמ '
[Listps ארס @ שורש] # ./sksu אני 577
אני אוהב אותך מותק
גרסה זוהתה: 1.3e
מח"ש 577 מסתתר עכשיו!
[Listps ארס @ שורש] # ./sksu אני 613
אני אוהב אותך מותק
גרסה זוהתה: 1.3e
מח"ש 613 מסתתר עכשיו!
בואו תראו אם PS (1) מוצא אותם:
[Root @ listps ארס] auxwww PS # | 'Crond | smbd' egrep
שורש 2160 0,0 0,1 1516 552 נק '/ 1 S 15:24 00:00 egrep Crond | smbd
[Listps ארס @ שורש] #
נסה להפעיל listps:
[Root @ listps ארס] # listps -d
פיקוד PID
577 Crond (מוסתר)
613 smbd (מוסתר)
[Listps ארס @ שורש] #
לבסוף, בואו להסיר suckit:
[Listps ארס @ שורש] # ./sksu נ 577
אני אוהב אותך מותק
גרסה זוהתה: 1.3e
מח"ש 577 גלוי עכשיו!
[Listps ארס @ שורש] # ./sksu נ 613
אני אוהב אותך מותק
גרסה זוהתה: 1.3e
מח"ש 613 גלוי עכשיו!
[Root @ listps ארס] # ./sksu u
אני אוהב אותך מותק
גרסה זוהתה: 1.3e
Suckit להסיר sucesfully!
[Root @ listps ארס] # listps -d
פיקוד PID
[Listps ארס @ שורש] #
מה חדש בהודעה זו:
- גרסה זו משנה parse_args להשתמש getopts (קצר לעת עתה), קורא ומהלכים כל הנתונים הסטטיסטיים למבנה, הופך את אפשרות -l להדפיס כמה מהערכים מהמבנה, והופך את רשימת אפשרות -p רק PID יחיד.
תגובות לא נמצא