Fil-qosor: Proċessi suspettużi fuq servers tal-Linux tagħrafhom minn ftit karatteristiċi: fajl tal-programm imħassar jew f'/tmp, /dev/shm jew direttorju tal-web, isem li jimita proċess tas-sistema, utent mhux tas-soltu, konnessjonijiet permanenti tan-netwerk jew tagħbija għolja mingħajr raġuni. Iċċekkja b'kmandi li jaqraw biss jekk il-fajl tal-programm jappartjenix għal pakkett installat, u salva s-sejbiet qabel ma twaqqaf xi ħaġa.
X'ifisser „suspettuż“ għal proċess
Fuq server tal-web jaħdmu mijiet ta' proċessi. Il-biċċa l-kbira jappartjenu għas-sistema operattiva, għas-server tal-web, għad-database jew għal PHP. Attakkant li seta' jesegwixxi kodiċi permezz ta' vulnerabbiltà bħal PHP2Shell jipprova ma jaqbadx l-għajn bejniethom. Jagħżel ismijiet diskreti u jpoġġi programmi fejn l-utent tas-server tal-web jista' jikteb.
Għall-verifika jgħin li tkun taf l-istat normali. Min jaf liema servizzi għandhom jaħdmu fuq server, taħt liema utenti u b'liema tagħbija, jagħraf id-devjazzjonijiet ħafna iktar malajr. Jekk dan l-għarfien jonqos, jixraq li tuża għall-paragun il-lista tal-proċessi ta' server simili u mhux suspettat.
Karatteristika waħda mhijiex xorta waħda prova. Deċiżiv huwa t-taħlit. Proċess bl-isem ta' thread tal-kernel, li jaħdem taħt www-data, beda minn /dev/shm u żamm konnessjoni barra mill-pajjiż, huwa każ ċar. Kif tiċċekkja l-każ speċjali ta' shell taħt is-server tal-web jiddeskrivih Sinjal ta' twissija: is-server tal-web jibda shell.
L-ewwel ħarsa ġenerali f'ħames kmandi
Il-kmandi kollha jaqraw biss. Esegwihom bħala root, biex tara l-proċessi kollha, u aħżen l-outputs f'fajl barra mid-direttorju tal-web.
# 1. Il-proċessi kollha bl-utent, il-PID tal-ġenitur, il-ħin tal-bidu, CPU u l-linja tal-kmand
ps -eo user,pid,ppid,lstart,%cpu,%mem,cmd --sort=-%cpu | head -40
# 2. Proċessi li l-fajl tal-programm tagħhom tħassar
ls -l /proc/[0-9]*/exe 2>/dev/null | grep "(deleted)"
# 3. Proċessi li jaħdmu minn direttorji temporanji jew tal-web
ls -l /proc/[0-9]*/exe 2>/dev/null | grep -E " -> (/tmp|/var/tmp|/dev/shm|/var/www)"
# 4. Proċessi b'konnessjonijiet tan-netwerk
ss -tunap
# 5. Ħarsa ġenerali lejn il-proċessi tal-utenti tas-server tal-web
ps -eo user,pid,ppid,lstart,cmd | grep -E "^(www-data|apache|nginx) "
L-ismijiet tal-utenti jvarjaw skont id-distribuzzjoni u l-panel; Plesk u panels oħra ta' spiss iħaddmu PHP taħt l-utent tal-klijent rispettiv. Adatta l-lista għall-ambjent tiegħek.
Aqra l-outputs b'ħarsa lejn il-ħin tal-bidu. Proċessi li jaħdmu mill-aħħar restart tas-server ġeneralment jappartjenu għas-sistema. Proċessi li bdew f'nofs il-lejl jew fil-jiem wara s-17 ta' Ottubru u ma jaqblux ma' ebda servizz jixirqilhom attenzjoni. Qabbel ukoll in-numru ta' proċessi ta' PHP ma' dak li l-konfigurazzjoni tal-pool tiegħek tippermetti; ħafna iktar proċessi taħt utent tas-server tal-web huma indikazzjoni.
Proċessi suspettużi taħt Linux: karatteristiċi tipiċi
| Karatteristika | Għaliex taqbad l-għajn | Spjegazzjoni bla ħsara possibbli? |
|---|---|---|
| Fajl tal-programm „(deleted)“ | L-attakkanti jħassru fajls wara l-bidu | iva, wara aġġornamenti tal-pakketti sakemm isir restart |
Post tal-bidu /tmp, /dev/shm, folder tal-upload |
hemmhekk jista' jikteb kulħadd jew is-server tal-web | rari |
Isem fil-parentesi kwadri bħal [kworker] |
jimita threads tal-kernel | le, jekk wara hemm fajl tal-programm |
| Tagħbija għolja permanenti tas-CPU mingħajr raġuni | tipiku għal cryptominers | iva, f'batch jobs jew indiċizzazzjoni |
| Proċess ġenitur 1 u utent tas-server tal-web | maqlugħ mis-server tal-web, ikompli jaħdem waħdu | rari |
| Konnessjoni lejn destinazzjoni mhux magħrufa | kontroll jew tnixxija tad-data | iva, f'aġġornamenti u APIs |
Threads veri tal-kernel m'għandhomx fajl tal-programm; ls -l /proc/PID/exe fihom ma jagħti l-ebda mogħdija. Jekk proċess b'isem tal-kernel jindika fajl, huwa moħbi. Fil-każ ta' tagħbija għolja mingħajr raġuni ovvja jgħin l-artikolu Cryptominer fuq is-server tal-web.
Kontroll: il-fajl tal-programm jappartjeni għal pakkett?
Kważi l-programmi leġittimi kollha fuq server jiġu mill-amministratur tal-pakketti. Fajl tal-programm li ma jappartjenix lil ebda pakkett mhuwiex awtomatikament malizzjuż, imma jixraq ħarsa eżatta.
PID=12345
EXE=$(readlink /proc/$PID/exe); echo "$EXE"
dpkg -S "$EXE" # Debian/Ubuntu: lil liema pakkett jappartjeni l-fajl?
rpm -qf "$EXE" # familja RHEL
sha256sum /proc/$PID/exe # checksum, taħdem anke f'fajl imħassar
tr '\0' ' ' < /proc/$PID/environ | head -c 600; echo # varjabbli tal-ambjent
Jekk il-fajl tal-programm tħassar, sha256sum /proc/$PID/exe xorta jaqrah mill-proċess li qed jaħdem. Din il-checksum tappartjeni fid-dokumentazzjoni. Kopja tal-fajl għandha tagħmilha biss min jaf kif iżommha b'mod sigur.
Limiti tal-verifika fuq is-sistema li qed taħdem
Il-kmandi kollha ta' hawn fuq jafdaw is-sistema li qed tivverifika. F'dħul tas-soltu permezz tal-websajt bid-drittijiet tal-utent tas-server tal-web dan huwa difendibbli. Jekk attakkant kiseb drittijiet ta' root, jista' jaħbi proċessi u jivvizza outputs. Imbagħad is-server juri biss dak li jippermetti l-attakkant.
Indikazzjonijiet għal dan huma kontradizzjonijiet: tagħbija mingħajr proċess viżibbli, konnessjonijiet li l-firewall tarahom imma ss le, jew programmi tas-sistema mibdula. F'każijiet bħal dawn il-verifika tappartjeni fuq image salvat. F'sistemi li qed jaħdmu ta' spiss tiżdied salvataġġ tal-memorja ewlenija, għax xi softwer malizzjuż jeżisti biss hemmhekk u ma jħalli kważi l-ebda traċċa fuq id-disk. Din is-salvataġġ trid issir qabel restart u teħtieġ għodod xierqa u esperjenza. Għaliex għandek tagħmel dan qabel installazzjoni mill-ġdid tispjegah Salva l-provi qabel terġgħu tinstallaw.
Twaqqafx proċessi suspettużi bħala l-ewwel pass. Spiss cronjob jew servizz jerġa' jibdihom, u mal-proċess jisparixxu mill-memorja l-linja tal-kmand, il-konnessjonijiet u l-fajl tal-programm imħassar.
Iċċekkja l-autostarts u l-passi li jmiss
Proċess malizzjuż li jisparixxi wara restart ikun bla siwi għall-attakkanti. Għalhekk f'kull sejba ta' proċess tappartjeni l-mistoqsija x'jibdih. Minbarra cronjobs jiġu f'kunsiderazzjoni l-aktar servizzi systemd, li attakkant bid-drittijiet ta' root jista' joħloq. Jaqbdu l-għajn servizzi b'ismijiet ġeneriċi li l-fajl tal-programm tagħhom jinsab f'direttorju mhux tas-soltu, u fajls unit li nħolqu wara s-17 ta' Ottubru.
# Servizzi li qed jaħdmu u fajls unit mibdula riċentement
systemctl list-units --type=service --state=running --no-pager
find /etc/systemd /usr/lib/systemd /lib/systemd -type f -newerct "2026-10-17" -ls 2>/dev/null
# Libreriji jiddaħħlu f'kull proċess? Il-fajl normalment ma jeżistix.
ls -l /etc/ld.so.preload 2>/dev/null && cat /etc/ld.so.preload
Daħla f'/etc/ld.so.preload hija rari fuq servers tal-web normali u indikazzjoni qawwija ta' manipulazzjoni bid-drittijiet ta' root. Kif tivverifika kompiti skedati kompletament jiddeskrivih Agħraf cronjobs moħbija bħala backdoor.
Wara jsegwu l-passi li jmiss f'din is-sekwenza:
- Salva l-outputs u l-checksums bil-ħin.
- Fittex persistenza: cronjobs, servizzi u timers ta' systemd, ċwievet SSH.
- Iċċara l-oriġini: logs mill-20 ta' Ottubru, fajls ġodda fid-direttorju tal-web.
- Iżola s-server u ppjana tindif jew bini mill-ġdid.
Ħarsa ġenerali lejn is-sinjali tipiċi kollha wara PHP2Shell tagħti Diġà kompromess?.
Kif tgħin PHP SOS b'mod konkret?
- Nivvalutaw il-proċessi: Niċċekkjaw il-lista tal-proċessi, il-fajls tal-programmi u l-konnessjonijiet u nikklassifikaw kull sejba.
- Insalvaw b'mod validu fil-qorti: Bl-IT-Forensika insalvaw il-memorja u l-mezzi ta' ħażna qabel ma jinbidel xi ħaġa.
- Insibu l-persistenza: Infittxu mekkaniżmi li jerġgħu jibdew proċessi malizzjużi.
- Nagħlqu: Intnaddfu jew nibnu mill-ġdid u niddokumentaw l-inċident sat-tmiem.
Mistoqsijiet frekwenti
Kif nagħraf proċess suspettuż taħt Linux?
Karatteristiċi tipiċi huma fajl tal-programm imħassar, post tal-bidu f'/tmp jew /dev/shm, isem li jimita proċess tas-sistema, utent mhux tas-soltu u konnessjonijiet permanenti tan-netwerk. Karatteristiċi individwali huma indikazzjonijiet, diversi flimkien suspett serju.
X'ifisser „(deleted)“ f'/proc/PID/exe?
Il-fajl tal-programm tal-proċess tħassar wara l-bidu. Dan iseħħ b'mod leġittimu wara aġġornamenti tal-pakketti, sakemm is-servizz jerġa' jibda. F'proċessi minn folders temporanji jew taħt l-utent tas-server tal-web huwa mġiba tipika ta' kamuffaġġ.
Nista' nafda l-output ta' ps?
F'dħul tas-soltu ġeneralment iva. Jekk attakkant kiseb drittijiet ta' root, madankollu, jista' jimmanipula għodod u outputs. Imbagħad verifika minn barra, pereżempju fuq image salvat, hija iktar affidabbli.
Għandi nwaqqaf proċess suspettuż b'kill?
Mhux l-ewwel. Salva l-ewwel il-linja tal-kmand, il-fajl tal-programm, il-konnessjonijiet u l-ħin tal-bidu. Proċess imwaqqaf ma jiżvela xejn aktar, u ta' spiss cronjob jew servizz jerġa' jibdih xorta waħda.