Go achomair: Aithníonn tú próisis amhrasacha ar fhreastalaithe Linux ar chúpla gné: comhad cláir scriosta nó i /tmp, /dev/shm nó i bhfillteán gréasáin, ainm a dhéanann aithris ar phróiseas córais, úsáideoir neamhghnách, naisc líonra bhuana nó ualach ard gan chúis. Seiceáil le horduithe léitheoireachta an mbaineann an comhad cláir le pacáiste suiteáilte, agus cosain torthaí sula stopann tú aon ní.
Cad is brí le „amhrasach“ i bpróiseas
Ar fhreastalaí gréasáin ritheann na céadta próiseas. Baineann an chuid is mó acu leis an gcóras oibriúcháin, leis an bhfreastalaí gréasáin, leis an mbunachar sonraí nó le PHP. Déanann ionsaitheoir a d'fhéadfadh cód a rith trí leochaileacht ar nós PHP2Shell iarracht gan feiceáil eatarthu. Roghnaíonn sé ainmneacha neamhghnácha agus cuireann sé cláir ann inar féidir le húsáideoir an fhreastalaí gréasáin scríobh.
Don seiceáil cuidíonn sé an gnáthstaid a bheith ar eolas agat. An té a bhfuil a fhios aige cé na seirbhísí atá le rith ar fhreastalaí, faoi cé na húsáideoirí agus le cén t-ualach, aithníonn sé neamhghnáthaigh i bhfad níos tapa. Mura bhfuil an t-eolas sin agat, is fiú liosta próiseas freastalaí den chineál céanna a bhfuil sé neamhamhrasach a úsáid mar chomparáid.
Ní cruthúnas é gné aonair. Is é an chomhoibriú an rud cinntitheach. Is cás soiléir é próiseas le hainm snáithe eithne a ritheann faoi www-data, a cuireadh ar bun ó /dev/shm agus a choinníonn nasc thar lear. Conas cás speisialta de shliogán faoin bhfreastalaí gréasáin a sheiceáil, déanann Comhartha rabhaidh: tosaíonn an freastalaí gréasáin sliogán cur síos air.
Forléargas céadfa i gcúig ordú
Ní léann na horduithe go léir ach. Rith iad mar root chun na próisis ar fad a fheiceáil, agus sábháil na haschuir i gcomhad lasmuigh den eolaire gréasáin.
# 1. Gach próiseas le húsáideoir, PID tuismitheora, am tosaithe, CPU agus líne ordaithe
ps -eo user,pid,ppid,lstart,%cpu,%mem,cmd --sort=-%cpu | head -40
# 2. Próisis a scriosadh a gcomhad cláir
ls -l /proc/[0-9]*/exe 2>/dev/null | grep "(deleted)"
# 3. Próisis a ritheann ó eolairí sealadacha nó gréasáin
ls -l /proc/[0-9]*/exe 2>/dev/null | grep -E " -> (/tmp|/var/tmp|/dev/shm|/var/www)"
# 4. Próisis le naisc líonra
ss -tunap
# 5. Próisis úsáideoirí an fhreastalaí gréasáin i mbreathnú ginearálta
ps -eo user,pid,ppid,lstart,cmd | grep -E "^(www-data|apache|nginx) "
Athraíonn ainmneacha úsáideoirí de réir dáilte agus painéil; is minic a ritheann Plesk agus painéil eile PHP faoi úsáideoir an chustaiméara faoi seach. Oiriúnaigh an liosta do do thimpeallacht.
Léigh na haschuir agus aird agat ar an am tosaithe. Is gnách go mbaineann próisis atá ag rith ó atosú deireanach an fhreastalaí leis an gcóras. Tuilleann próisis a cuireadh ar bun i lár na hoíche nó sna laethanta tar éis an 17 Deireadh Fómhair agus nach n-oireann d'aon seirbhís aird. Cuir uimhir na bpróiseas PHP i gcomparáid freisin leis an méid a cheadaíonn do chumraíocht linne; is leid iad i bhfad níos mó próiseas faoi úsáideoir freastalaí gréasáin.
Próisis amhrasacha faoi Linux: gnéithe tipiciúla
| Gné | Cén fáth go dtugtar faoi deara é | An bhféadfadh míniú neamhdhíobhálach a bheith ann? |
|---|---|---|
| Comhad cláir „(deleted)“ | Scriosann ionsaitheoirí comhaid tar éis tosú | féadfaidh, tar éis nuashonruithe pacáiste go dtí an t-atosú |
Áit tosaithe /tmp, /dev/shm, fillteán uaslódála |
is féidir le gach duine nó leis an bhfreastalaí gréasáin scríobh ann | annamh |
Ainm idir lúibíní cearnacha ar nós [kworker] |
déanann sé aithris ar shnáitheanna eithne | níl, má tá comhad cláir taobh thiar de |
| Ualach CPU ard buan gan chúis | tipiciúil do kryptominer | féadfaidh, i gcás jabanna baisc nó innéacsaithe |
| Próiseas tuismitheora 1 agus úsáideoir an fhreastalaí gréasáin | scaoilte ón bhfreastalaí gréasáin, leanann sé ag rith go neamhspleách | annamh |
| Nasc le sprioc anaithnid | rialú nó sreabhadh sonraí amach | féadfaidh, i gcás nuashonruithe agus APIanna |
Níl aon chomhad cláir ag fíorshnáitheanna eithne; ní thugann ls -l /proc/PID/exe cosán dóibh. Má phointeálann próiseas le hainm eithne ar chomhad, tá sé cuimsithe. Maidir le hualach ard gan chúis inaitheanta, cabhraíonn an t-alt Kryptominer ar an bhfreastalaí gréasáin.
Seiceáil: an mbaineann an comhad cláir le pacáiste?
Tagann beagnach gach clár dleathach ar fhreastalaí ó bhainisteoir na bpacáistí. Ní mailíseach go huathoibríoch é comhad cláir nach mbaineann le pacáiste ar bith, ach tuilleann sé breathnú cruinn.
PID=12345
EXE=$(readlink /proc/$PID/exe); echo "$EXE"
dpkg -S "$EXE" # Debian/Ubuntu: cén pacáiste a mbaineann an comhad leis?
rpm -qf "$EXE" # teaghlach RHEL
sha256sum /proc/$PID/exe # suim sheiceála, oibríonn sé fiú nuair a bhíonn an comhad scriosta
tr '\0' ' ' < /proc/$PID/environ | head -c 600; echo # athróga timpeallachta
Má tá an comhad cláir scriosta, léann sha256sum /proc/$PID/exe as an bpróiseas atá ag rith é ar aon nós. Ba cheart an tsuim sheiceála seo a bheith sa doiciméadúchán. Níor cheart cóip den chomhad a chruthú ach ag duine a bhfuil a fhios aige conas é a stóráil go sábháilte.
Teorainneacha na seiceála ar an gcóras atá ag rith
Tá muinín ag na horduithe thuas go léir sa chóras atá á sheiceáil agat. I gcás briste isteach coitianta tríd an suíomh gréasáin le cearta úsáideoir an fhreastalaí gréasáin, is inchosanta é sin. Má fuair ionsaitheoir cearta root, is féidir leis próisis a cheilt agus aschuir a bhréagadh. Ansin ní thaispeánann an freastalaí ach an méid a cheadaíonn an t-ionsaitheoir.
Is contrárthachtaí iad leideanna air sin: ualach gan phróiseas infheicthe, naisc a fheiceann an balla dóiteáin ach nach bhfeiceann ss, nó cláir chórais athraithe. I gcásanna den sórt sin, baineann an tseiceáil le híomhá chosanta. Ar chórais atá ag rith is minic a chuirtear cúltaca de chuimhne oibre leis, mar ní bhíonn roinnt bogearraí mailíseacha ann ach ansin agus fágann siad beagán rianta ar an diosca. Ní mór an cúltaca seo a dhéanamh roimh atosú agus teastaíonn uirlisí oiriúnacha agus taithí uaidh. Míníonn Fianaise a chosaint sular athshuiteálann tú cén fáth ar cheart duit é a chruthú sular athshuiteálann tú.
Ná stop próisis amhrasacha mar chéad chéim. Is minic a atosaíonn cronjob nó seirbhís iad, agus leis an bpróiseas imíonn an líne ordaithe, na naisc agus an comhad cláir scriosta as an gcuimhne.
Autostartanna a sheiceáil agus na chéad chéimeanna eile
Ní bheadh aon luach ag próiseas mailíseach a imeodh tar éis atosaithe d'ionsaitheoirí. Dá bhrí sin baineann an cheist cad a thosaíonn é le gach fáil próisis. Seachas cronjobs, is iad seirbhísí systemd is mó atá i gceist, ar féidir le hionsaitheoir le cearta root iad a chruthú. Tá seirbhísí le hainmneacha ginearálta a bhfuil a gcomhad cláir i bhfillteán neamhghnách, agus comhaid unit a cruthaíodh tar éis an 17 Deireadh Fómhair, suntasach.
# Seirbhísí atá ag rith agus comhaid unit athraithe le déanaí
systemctl list-units --type=service --state=running --no-pager
find /etc/systemd /usr/lib/systemd /lib/systemd -type f -newerct "2026-10-17" -ls 2>/dev/null
# An gcuirtear leabharlann isteach i ngach próiseas? De ghnáth níl an comhad ann.
ls -l /etc/ld.so.preload 2>/dev/null && cat /etc/ld.so.preload
Is annamh iontráil in /etc/ld.so.preload ar ghnáthfhreastalaithe gréasáin agus is comhartha láidir í d'ionramháil le cearta root. Conas tascanna sceidealaithe a sheiceáil go hiomlán, déanann Cronjobs folaithe mar chúldoras a aithint cur síos air.
Ina dhiaidh sin leanann na chéad chéimeanna eile san ord seo:
- Aschuir agus suimeanna seiceála a chosaint leis an am.
- Buanseasmhacht a lorg: cronjobs, seirbhísí systemd agus amadóirí, eochracha SSH.
- An bunús a shoiléiriú: logaí ón 20 Deireadh Fómhair, comhaid nua san eolaire gréasáin.
- An freastalaí a scaradh agus glanadh nó atógáil a phleanáil.
Tugann An bhfuil mé sáraithe cheana? forléargas ar na comharthaí tipiciúla go léir tar éis PHP2Shell.
Conas a chabhraíonn PHP SOS go praiticiúil?
- Próisis a mheas: Seiceálaimid liosta próiseas, comhaid cláir agus naisc agus measaimid gach fáil.
- Cosaint a bhfuil inghlacthacht chúirte aici: Leis an bhFóiréinsic TF cosnaímid cuimhne oibre agus tiomántáin sula n-athraítear aon ní.
- Buanseasmhacht a aimsiú: Lorgaímid sásraí a atosaíonn próisis mhailíseacha.
- Críochnú: Glanaimid nó atógaimid agus doiciméadaímid an teagmhas go dtí an dúnadh.
Ceisteanna coitianta
Conas a aithním próiseas amhrasach faoi Linux?
Is comharthaí tipiciúla iad comhad cláir scriosta, áit tosaithe in /tmp nó /dev/shm, ainm a dhéanann aithris ar phróiseas córais, úsáideoir neamhghnách agus naisc líonra bhuana. Is leideanna iad comharthaí aonair; is amhras tromchúiseach iad roinnt acu le chéile.
Cad is brí le „(deleted)“ ag /proc/PID/exe?
Scriosadh comhad cláir an phróisis tar éis tosú. Tarlaíonn sé sin go dleathach tar éis nuashonruithe pacáiste, go dtí go n-atosaíonn an tseirbhís. I gcás próisis ó fhillteáin shealadacha nó faoi úsáideoir an fhreastalaí gréasáin, is iompar cuimsithe tipiciúil é.
An féidir liom brath ar aschur ps?
I gcás briste isteach coitianta, is féidir de ghnáth. Ach má fuair ionsaitheoir cearta root, is féidir leis uirlisí agus aschuir a ionramháil. Ansin is iontaofa seiceáil ón taobh amuigh, mar shampla ar íomhá chosanta.
Ar cheart dom próiseas amhrasach a stopadh le kill?
Ní mar chéad rud. Cosain ar dtús an líne ordaithe, an comhad cláir, na naisc agus an t-am tosaithe. Ní nochtann próiseas stoptha aon ní a thuilleadh, agus is minic a atosaíonn cronjob nó seirbhís é ar aon nós.