listps

listps hanke on pieni Linux-ohjelma näyttää kaikki käynnissä olevat prosessit, kuten kätkettyjä. Se toimii vain / proc-tiedostojärjestelmien.
Järjestelmissä vaarantunut erilaisia ​​rootkit, kuten esimerkiksi suckit 1.3e, listps voi nimenomaisesti luetella piilotetut prosessit, jotka ovat käynnissä.
Se tekee tämän nimenomaisesti pohti / proc-tiedostojärjestelmää prosessien tunnusten välillä 1-33 tuhatta.
Vaihdoin prosessit on painettu paranthesis.
Esimerkki ulostulo
Istuntoon Alla olen asentanut suckit 1.3e on linux ruutuun piilottaa kaksi prosessia (crond ja smbd) käyttävät listps luetella niitä.
Ensimmäinen, nyt asentaa suckit 1.3e isäntä:
[Root @ aarin listps] # uname -a
Linux ares.sublevel3.org 2.4.20-20.7custom # 1 SMP Tue 23 syyskuu 14:30:50 CEST 2003 i686 tuntematon
[Root @ aarin listps] # ./sksu
Rakastan sinua vauva
Show alkaa Testitila 0
RK_Init: IDT = 0xc0328000, sct [] = 0xc02c68e0
kma_hint = 0x00000000
kmalloc () = 0xc012fcb0, gfp-= 0x1f0
Z_Init: kohdentaminen kernel-koodi muisti ... KINIT (0xd04d9c64) sct 0xc02c68e0
SCTP 0xbfffcde0 oldsys 0xc010cf40
Tehty, 11635 tavua, base = 0xd04d8000
Nyt piilottaa crond ja smbd (PID 577 ja 613):
[Root @ aarin listps] # ./sksu
Rakastan sinua vauva
Detected versio: 1.3e
käytä:
./sksu [args]
t - testi instalation tavoite
f - force instalation
u - uninstall
i - tee pid näkymätön
v - tee pid näkyväksi
f [0/1] - toggle file piilossa
p [0/1] - toggle pid piilossa
[Root @ aarin listps] # ./sksu i 577
Rakastan sinua vauva
Detected versio: 1.3e
Pid 577 on piilotettu nyt!
[Root @ aarin listps] # ./sksu i 613
Rakastan sinua vauva
Detected versio: 1.3e
Pid 613 on piilotettu nyt!
Katsotaanpa, jos ps (1) löytää heidät:
[Root @ aarin listps] # ps auxwww | egrep 'crond | smbd'
root 2160 0,0 0,1 1516 552 pist / 1 S 15:24 00:00 egrep crond | smbd
[Root @ aarin listps] #
Kokeilla listps:
[Root @ aarin listps] # listps -d
  PID COMMAND
  577 crond (piilotettu)
  613 smbd (piilotettu)
[Root @ aarin listps] #
Lopuksi, nyt poistaa suckit:
[Root @ aarin listps] # ./sksu v 577
Rakastan sinua vauva
Detected versio: 1.3e
Pid 577 näkyy nyt!
[Root @ aarin listps] # ./sksu v 613
Rakastan sinua vauva
Detected versio: 1.3e
Pid 613 näkyy nyt!
[Root @ aarin listps] # ./sksu u
Rakastan sinua vauva
Detected versio: 1.3e
Suckit poistettu sucesfully!
[Root @ aarin listps] # listps -d
  PID COMMAND
[Root @ aarin listps] #

Mikä on uusi tässä julkaisussa:

• Tämä versio muuttuu parse_args käyttää getopts (lyhyt nyt), lukee ja liikkuu kaikki tilastot rakenteeseen, tekee optio -l tulostaa muutamia arvojen rakenteesta, ja tekee -p vaihtoehto luettelosta vain yksi PID.