Problem mit perlwurm (Linux) (Linux)

[thread]14642[/thread]

Problem mit perlwurm (Linux)

Leser: 33

Articles: hide open all | hide show old branches

+23 replies
topeg

2010-02-11 18:06

User since
2006-07-10
2611 Artikel
BenutzerIn

Ich habe ein Problem mit einem Perlscript, das mir "untergeschoben" wurde. Ich bin dem Herr geworden (alle Prozesse des Nutzers gekillt und Nutzerkonto neu angelegt), aber ich suche nach einer einfacheren Lösung. Das Problem ist, das es sich ständig forked und über links/symlinks neu startet, die es sofort wieder löscht. Ich habe den Code dahin gehend auseinander genommen um zu sehen wie es in dem speziellen Fall funktioniert. Kennt jemand eine Möglichkeit heraus zu finden ob ein Prozess direkt oder indirekt mit Perl gestartet wurde?

EDIT:
Es geht um eine Unix Umgebung.
Last edited: 2010-02-11 18:14:06 +0100 (CET)
- +9 replies
- GwenDragon
  
  2010-02-11 18:13
  
  User since
  2005-01-17
  14757 Artikel
  Admin1
  
  ps aux liefert dir doch die Prozesse mit Start-Parametern.
  
  ps aux | grep -i perl
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +8 replies
  - topeg
    
    2010-02-11 18:15
    
    User since
    2006-07-10
    2611 Artikel
    BenutzerIn
    
    Wenn es so einfach wäre. Mach mal ein "link" oder "symlink" auf "perl" und starte damit einen Prozess. Es taucht der Name des Links auf.
    - +6 replies
    - GwenDragon
      
      2010-02-11 18:19
      
      User since
      2005-01-17
      14757 Artikel
      Admin1
      
      Hmm, schwierig.
      
      alle Sym/-links suchen und anzeigen lasst und schauen, welches perl zeigt. Aber das dauert.
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - +4 replies
      - topeg
        
        2010-02-11 18:24
        
        User since
        2006-07-10
        2611 Artikel
        BenutzerIn
        
        Und bis dahin ist das Script wieder wo anders... Es wechselt ungefähr alle 1-5 Sekunden den Prozess. Zudem Löscht es die Links/Symlinks sofort nach dem eigenen Neustart, da ist nicht mehr viel zu finden.
        
        +3 replies
        
        GwenDragon
        
        2010-02-11 18:26
        
        User since
        2005-01-17
        14757 Artikel
        Admin1
        
        Dann nimm ihm die Grundlage, wenn es perl verwendet. Benenne das perl binary um!
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        topeg
        
        2010-02-11 18:29
        
        User since
        2006-07-10
        2611 Artikel
        BenutzerIn
        
        Wäre eine Möglichkeit.
        
        topeg
        
        2010-02-11 19:03
        
        User since
        2006-07-10
        2611 Artikel
        BenutzerIn
        
        Das mit dem Binary umbenennen ist ein gute Idee gewesen. Ich habe das Binary durch ein Programm ersetzt das mir Meldung macht wenn per "-e" große Codeblöcke übergeben werden, oder es nicht mit dem originalen Namen aufgerufen wird. Wenn ich jetzt noch eine Filterliste einbaue kann ich die Ungewöhnlichen Scripte geszielt beenden.
      - betterworld
        
        2010-02-11 18:37
        
        User since
        2003-08-21
        2614 Artikel
        ModeratorIn
        
        Symlinks sind nur eine der Moeglichkeiten, den Namen "perl" zu verbergen. Eine andere Moeglichkeit:
        
        Code: (dl )
        
        sh -c 'exec -a secret perl -e sleep'
        
        Lieblingsmodule: IPC::System::Simple, Path::Class
    - leo11
      
      2010-02-11 18:32
      
      User since
      2008-08-14
      250 Artikel
      BenutzerIn
      
      Und was ist mit dem Namen des Skriptes? Ändert der sich auch ständig?
      
      Nachtrag:
      Ansonsten schreibst du auch etwas von einem User, den du gelöscht hast. ps bietet eine Möglichkeit danach zu filtern. Hilft dir das weiter? Was ist dein Ziel?
      Last edited: 2010-02-11 18:40:30 +0100 (CET)
- +2 replies
- GwenDragon
  
  2010-02-11 18:24
  
  User since
  2005-01-17
  14757 Artikel
  Admin1
  
  Schon mal rkhunter und chkrootkit laufen lassen?
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - topeg
    
    2010-02-11 18:41
    
    User since
    2006-07-10
    2611 Artikel
    BenutzerIn
    
    Muss ich ausprobieren, obwohl ich befürchte das es nicht funktionieren wird. Das Script schreibt sich nirgendwo dauerhaft hin. Es überwacht die Laufenden Prozesse und Nutzer und versucht durch kurzfristiges austauschen von Dateien andere Nutzerrechte zu erlangen. Die gewonnen Daten versucht es an verschiedene Nopaste-Anbieter zu schicken, darum ist es auch auf gefallen.
    Wenn die Tools nicht verdammt schnell sind, dann werden sie wohl kaum was finden.
- +7 replies
- Gast ҉
  
  2010-02-11 18:48
  
  Die Properties fname und exec von Proc::ProcessTable liefern im Gegensatz zu ps immer die korrekten Namen. Symlinks und der Trick mit exec -a greifen auch nicht.
  
  Krieg ich jetz nen Keks?
  - +5 replies
  - betterworld
    
    2010-02-11 18:51
    
    User since
    2003-08-21
    2614 Artikel
    ModeratorIn
    
    Man koennte immer noch eine Kopie von /usr/bin/perl erstellen ;-)
    Lieblingsmodule: IPC::System::Simple, Path::Class
    - +4 replies
    - topeg
      
      2010-02-11 19:07
      
      User since
      2006-07-10
      2611 Artikel
      BenutzerIn
      
      Hat das Script nicht gemacht, aber werde ich versuchen zu beachten. Wenn ich das perlBinary ersetze, dann klappt das kopieren auch nicht ohne weiteres.
      - +3 replies
      - GwenDragon
        
        2010-02-11 19:10
        
        User since
        2005-01-17
        14757 Artikel
        Admin1
        
        Läuft das Skript mit root Rechten?
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +2 replies
        
        topeg
        
        2010-02-11 19:14
        
        User since
        2006-07-10
        2611 Artikel
        BenutzerIn
        
        Das Schadscript? Nein das lief unter einem eingeschränkten Nutzer. Darum konnte ich es ja beenden indem ich alle Prozesse des Nutzers beendet habe.
        
        GwenDragon
        
        2010-02-11 19:37
        
        User since
        2005-01-17
        14757 Artikel
        Admin1
        
        Glück gehabt!
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - topeg
    
    2010-02-11 18:57
    
    User since
    2006-07-10
    2611 Artikel
    BenutzerIn
    
    Gut zu wissen. Das würde gehen, denke ich. Werde ich gleich mal ausprobieren.
- +4 replies
- murphy
  
  2010-02-11 19:58
  
  User since
  2004-07-19
  1776 Artikel
  HausmeisterIn
  
  Eine weitere schnelle Möglichkeit von Hand auf der Kommandozeile unter Linux alle Perlprozesse zu suchen, wäre etwas wie for pid in $(ps -e -o pid); do if [ -e "/proc/$pid/exe" ]; then echo "$pid: $(readlink "/proc/$pid/exe")"; fi; done | grep perl auszuführen.
  
  Für jeden Prozess, zu dem auch eine ausführbare Datei gehört, existiert unter Linux in /proc/$pid/exe ein symbolischer Link, der auf diese Datei zeigt.
  When C++ is your hammer, every problem looks like your thumb.
  - +3 replies
  - Nordlicht
    
    2010-05-28 16:07
    
    User since
    2005-10-16
    182 Artikel
    BenutzerIn
    
    Manno, ich wusste nicht, dass es so böse Viren für Unix / Linux gibt... da kann man eigentlich nur froh sein, dass es Benutzerrechte gibt, ansonsten wäre das ja tödlich...
    - GwenDragon
      
      2010-05-28 16:19
      
      User since
      2005-01-17
      14757 Artikel
      Admin1
      
      Nun ja, es gibt auch Sicherheitslücken, wo normale Benutzerrechte auch nicht schützen, wenn diese Lücke eine Erhöhung der Privilegien zulässt.
      Linux ist sicher, ist ein Mythos.
      
      http://www.google.de/search?hl=de&q=%2Bprivilege+%...
      http://www.google.de/search?hl=de&q=%2Bprivilege+%...
      Last edited: 2010-05-28 16:21:04 +0200 (CEST)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
    - topeg
      
      2010-05-28 17:34
      
      User since
      2006-07-10
      2611 Artikel
      BenutzerIn
      
      Das einzige wirklich sichere Computer-System ist das, das nicht läuft. Danach nimmt die Sicherheit Rapide ab. :-)

View all threads created 2010-02-11 18:06.