Linux'ta belirli bir bağlantı noktasının hangi sürecin açık olduğunu nasıl anlarım?

Nmap'ı sunucumda çalıştırdım ve garip bir portu açık buldum. Bu bağlantı noktasını belirli bir işlemle eşleştirmenin bir yolu olup olmadığını anlamaya çalışıyorum ancak böyle bir araç olup olmadığını bilmiyoruz.

Baska öneri?

Netstat'ın yanı sıra diğer yazılarda da belirtildiği gibi, lsof komutu bunu iyi yapabilmelidir. Sadece şunu kullan:

lsof -i :<port number>

ve tüm süreçler ortaya çıkmalı. OS X'te oldukça sık kullanıyorum.

Lsof için Debian İdaresi yazısı

Uyarı: Sisteminiz tehlikede.

İhtiyacınız olan araç lsof, dosyaları (ve yuvaları ve bağlantı noktalarını) listeleyecektir. Büyük olasılıkla yüklü ve büyük olasılıkla saldırganın sürümü, bu size yalan söyleyeceği anlamına geliyor .

Bu gerçekten bir rootkit. Bu davranışı daha önce görmüştüm ve her zaman bir rootkit. Sisteminiz tehlikeye giriyor ve aynı makineden çıkan kullandığınız hiçbir araca güvenilemiyor. Canlı bir CD'ye (salt okunur güvenilir ikili dosyalara sahip) önyükleyin ve verilerinizi, ayarlarınızı vb. Çıkarmak için kullanın. Sahip olduğunuz tüm programlar, sahip olduğunuz komut dosyaları, onları terk edin . Onları getirme . Onlar çünkü onlar, cüzzam varmış gibi, onları ve ifllemlenir yapmak .

İşiniz bittiğinde, yörüngeden çıkarın .

Bunu mümkün olan en kısa sürede yapın. Oh ve ağ bağlantınızı çıkarın - saldırgan erişiminizi reddedin.

sudo netstat -lnp  

Gelen bağlantıları dinleyen portları ve portun açık olduğu ilgili işlemi listeler.

netstat -anp

"-P", portun açık olduğu işlem kimliğini listelemesini söyler. -An dinleme portlarını listelemesini ve isimleri çözmemesini söyler. Ne kadar hızlı döndüğünü büyük ölçüde hızlandıran yoğun sistemlerde.

netstat -anp | grep "LIST"

Bu sadece size açık portları verecek.

Bağlantı noktasını işletim sistemi araçlarıyla açık olarak göremiyorsanız ve izinsiz girildiğinden şüpheleniyorsanız, bir rootkit kurulu olabilir.

Kök seti, belirli işlem ve bağlantı noktalarından veya değişen çekirdek modüllerinden kaçınmak için sistem araçlarını değiştirmiş olabilir.

Rootkit'i çeşitli otomatik araçlarla kontrol edebilirsiniz. 'apt-cache search rootkit' Ubuntu’da aşağıdakileri gösterir:

chkrootkit - rootkit detector
rkhunter - rootkit, backdoor, sniffer and exploit scanner
unhide - Forensic tool to find hidden processes and ports

Rootkit'iniz varsa, sisteminize 'değiştirilmiş olanı' geri döndürebilirsiniz, ancak izinsiz girişin nasıl yapıldığını bulmanızı ve sistemi tekrar etmemesi için sertleştirmenizi öneririm.

Ubuntu'ya özel değillerdir, bunları CentOS'ta da kullanabilirsiniz. Sadece paketi arayın veya sayfalarından indirin.

Bu bağlantı noktasından çıkan çıktıda, gerçekten de pcanywhere çalıştırıyorsunuz gibi görünüyor: " Ы <Enter>", "pcanywhere hoş geldiniz mesajı olan" Lütfen <Enter> "tuşuna basın. İşlemin neden işlem listesinde görünmediğini bilmiyorum. Kök müsün?

Ayrıca, çalışan tek bir işlem olup olmadığını görmek için yeniden başlatmayı deneyebilirsiniz.

@Bjtitus tarafından verilen cevabı açıklamak için, örneğin çok detaylı bilgiler alabilirsiniz:

$ lsof -i :8000
COMMAND  PID  USER   FD   TYPE   DEVICE SIZE/OFF NODE NAME
squid3  1289 proxy   15u  IPv6 14810490      0t0  TCP *:8000 (LISTEN)

$ ps -fp 1289
UID        PID  PPID  C STIME TTY          TIME CMD
proxy     1289     1  0 09:48 ?        00:00:00 /usr/sbin/squid3 -N -f /etc/squid-deb-proxy/squid-deb-proxy.conf

Orada kalamarın süreç olduğunu görebiliyorum, ama gerçekte benim squid-deb-proxylimanı çeken benim .

Java uygulamasının bir başka güzel örneği:

$ lsof -i :4242
COMMAND  PID USER   FD   TYPE   DEVICE SIZE/OFF NODE NAME
java    3075 root   86u  IPv4    12019      0t0  TCP *:4242 (LISTEN)

$ ps -fp 3075
UID        PID  PPID  C STIME TTY          TIME CMD
root      3075     1 15 May24 ?        3-16:07:25 /usr/local/crashplan/jre/bin/java -Dfile.encoding=UTF-8 -Dapp=CrashPlanService -DappBaseName=CrashPl

lsof(LiSt Open Files) içinde Java'dan daha faydalı olduğunu görebilirsiniz. psKomutu PID ile çalıştırarak CrashPlan olduğunu hemen görebiliriz.