iptableの成長

Question 1

以下を行います。

sudo iptables-save > /tmp/ipt.dump1

数秒後

sudo iptables-save > /tmp/ipt.dump2

だから投稿してくださいdiff -u /tmp/ipt.dump1 /tmp/ipt.dump2

少なくともあなたはあなたが何を扱っているのかを知るでしょう。

最後の手段として以下を行います。

sudo mv /sbin/iptables /sbin/iptables.real

次に、次のようなbashスクリプトを作成します。

#! /bin/bash
echo "`date`: I was called by $PPID `readlink /proc/$PPID/exe` " >> /tmp/iptables.log
/sbin/iptables.real "$@"

これにより、どのプロセスが継続的に呼び出されるかを確認できますiptables。

Answer

以下を行います。

sudo iptables-save > /tmp/ipt.dump1

数秒後

sudo iptables-save > /tmp/ipt.dump2

だから投稿してくださいdiff -u /tmp/ipt.dump1 /tmp/ipt.dump2

少なくともあなたはあなたが何を扱っているのかを知るでしょう。

最後の手段として以下を行います。

sudo mv /sbin/iptables /sbin/iptables.real

次に、次のようなbashスクリプトを作成します。

#! /bin/bash
echo "`date`: I was called by $PPID `readlink /proc/$PPID/exe` " >> /tmp/iptables.log
/sbin/iptables.real "$@"

これにより、どのプロセスが継続的に呼び出されるかを確認できますiptables。

Question 2

このawkスクリプトは、誰がiptablesを呼び出すのかを見つけるのに役立ちます。 execsnoop（）の出力をプロセスツリーに統合しますpid ppid command ...。親はインデントを行い、子の後ろに表示されます。申し訳ありません。もっと時間があれば、pstreeのように見えるようにすることができますが、おそらく効果があります。

数秒間execsnoopを実行し、出力をファイルに転送してから、そのファイルの入力を使用して実行します。

awk -v search=iptables '
    $1 ~ /^[0-9]+$/ {
        p = $1
        ppid[p] = $2
        # command is in $3..$NF, so we'll
        # remove the first 2 fields, then store $0
        for (i = 3; i <= NF; i++) {
            $(i-2) = $i
        }
        NF -= 2
        cmd[p] = $0
    }
    END {
        for (p in cmd) {
            if (cmd[p] ~ search) {
                prefix = ""
                do {
                    print prefix, p, cmd[p]
                    p = ppid[p]
                    prefix = prefix " "
                } while (p)
            }
        }
    }'

Answer

このawkスクリプトは、誰がiptablesを呼び出すのかを見つけるのに役立ちます。 execsnoop（）の出力をプロセスツリーに統合しますpid ppid command ...。親はインデントを行い、子の後ろに表示されます。申し訳ありません。もっと時間があれば、pstreeのように見えるようにすることができますが、おそらく効果があります。

数秒間execsnoopを実行し、出力をファイルに転送してから、そのファイルの入力を使用して実行します。

awk -v search=iptables '
    $1 ~ /^[0-9]+$/ {
        p = $1
        ppid[p] = $2
        # command is in $3..$NF, so we'll
        # remove the first 2 fields, then store $0
        for (i = 3; i <= NF; i++) {
            $(i-2) = $i
        }
        NF -= 2
        cmd[p] = $0
    }
    END {
        for (p in cmd) {
            if (cmd[p] ~ search) {
                prefix = ""
                do {
                    print prefix, p, cmd[p]
                    p = ppid[p]
                    prefix = prefix " "
                } while (p)
            }
        }
    }'

Question 3

知っているとウイルスだった…

私は開いた別のスタック交換ポスト次のことについて。

この回答は私の具体的なケースへの回答なので受け入れます。しかし、根本的な原因を追跡するのに本当に便利なツールを提供するコメントやその他の答えを確認してください。

Answer

知っているとウイルスだった…

私は開いた別のスタック交換ポスト次のことについて。

この回答は私の具体的なケースへの回答なので受け入れます。しかし、根本的な原因を追跡するのに本当に便利なツールを提供するコメントやその他の答えを確認してください。

iptableの成長

編集＃1

編集＃2

答え1

答え2

答え3

関連情報