The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Атака на уязвимые серверы с Cacti для майнинга криптовалюты "
Версия для распечатки Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Исходное сообщение [ Отслеживать ]
Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.
. "Атака на уязвимые серверы с Cacti для майнинга криптовалюты " –3 +/
Сообщение от Аноним (-), 26-Мрт-18, 14:24 
Ок, разберём конкретно, по пунктам.
1. Команда ps предназначена для вывода информации в человекочитаемом виде, а не для парсинга. Поэтому разбирать её вывод — значит ходить по граблям. Если ну очень надо (хотя я таких случаев не встречал), абсолютно необходимо сразу отфильтровать строку заголовка, например tail -n +2. Также отсюда проистекают все последующие пункты.
2. Без какой бы то ни было необходимости используется опция ps "u". Это приводит к избыточному выводу, в частности, как следствие, из-за этого приходится давить лишнее костылём grep -v grep.
3. Регулярное выражение, содержащее имя команды, применяется ко всей строке вывода ps. Например, если грепнуть "cat", можно нагрепать все процессы пользователя pussycat и ещё какой-нибудь locate. Чтобы этого не происходило, надо делать
ps -eo comm | tail -n +2 | grep '^cat$' | wc -l

4. У выше приведённой команды тоже есть недосаток: ps в качестве соответствующей процессу команды выводит урезанный argv[0]. Если вместо спецификатора формата comm использовать command, то ps выведет все елементы argv[], так что надо будет дорабатывать регулярку. Но эту уже становится слшком сложно, потому что всплывают новые нюансы (например в argv[0] может быть абсолютный или относительный путь, в том числе содержащий пробельные и даже непечатаемые символы). Лучше таки использовать
pgrep -ax cat

5. Многие забывают, что содержимое argv[0] может вообще не иметь никакого отношения к реально запущенному бинарю. Если нужно точное соответствие имени бинаря, то в случае GNU coreutils надо использовать
ps -eo ucmd
а POSIX ps, как и pgrep, вообще не годится. А если хочется соответствие не только имени, но и полного пути, забудь про ps вообще и бери в руки find:
find /proc/*/exe -lname /bin/cat
(это linux only).
Ответить | Правка | Наверх | Cообщить модератору

Оглавление
Атака на уязвимые серверы с Cacti для майнинга криптовалюты , opennews, 24-Мрт-18, 21:52  [смотреть все]
Форумы | Темы | Пред. тема | След. тема



Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру