ライブラリパッケージを使用して実行中のプロセスを検出するには？

Question 1

これは迂回的で非常に不正確なアプローチです。ライブラリファイルがどこにあるかを知っているので、それを一致させるためにヒューリスティックを使用する必要はなく、正確なパスを検索できます。

ファイルが開いているプロセスを一覧表示する非常に簡単な方法があります。

fuser /lib/x86_64-linux-gnu/libc.so.6

しかし、ここでは現在のファイルのバージョン、つまりライブラリの新しいコピーを使用するプロセスを開きます。削除されたレプリカを含むプロセスを一覧表示するには、これを使用できますが、lsof正しいパスを検索します。削除されたファイルを含むファイルシステムを制限するlsofことで、パフォーマンスを向上させ、一時的にアクセスできないネットワークファイルシステムなどのブロックを防ぐことができます。

lsof -o / | awk '$4 == "DEL" && $8 == "/lib/x86_64-linux-gnu/libc-2.13.so" {print $2}'

アップグレードされたパッケージに複数のライブラリが含まれていてライブラリを検索する場合は、パッケージ内のすべてのライブラリファイルを一覧表示します。プログラムでこれを行う方法は次のとおりです（Debianパッケージの場合はrpm -ql glibcRed Hatなどのディストリビューションに合わせて調整します）。

lsof -o / | awk '
   BEGIN {
       while (("dpkg -L libc6:amd64 | grep \\\\.so\\$" | getline) > 0)
           libs[$0] = 1
   }
   $4 == "DEL" && $8 in libs {print $2}'

Answer

これは迂回的で非常に不正確なアプローチです。ライブラリファイルがどこにあるかを知っているので、それを一致させるためにヒューリスティックを使用する必要はなく、正確なパスを検索できます。

ファイルが開いているプロセスを一覧表示する非常に簡単な方法があります。

fuser /lib/x86_64-linux-gnu/libc.so.6

しかし、ここでは現在のファイルのバージョン、つまりライブラリの新しいコピーを使用するプロセスを開きます。削除されたレプリカを含むプロセスを一覧表示するには、これを使用できますが、lsof正しいパスを検索します。削除されたファイルを含むファイルシステムを制限するlsofことで、パフォーマンスを向上させ、一時的にアクセスできないネットワークファイルシステムなどのブロックを防ぐことができます。

lsof -o / | awk '$4 == "DEL" && $8 == "/lib/x86_64-linux-gnu/libc-2.13.so" {print $2}'

アップグレードされたパッケージに複数のライブラリが含まれていてライブラリを検索する場合は、パッケージ内のすべてのライブラリファイルを一覧表示します。プログラムでこれを行う方法は次のとおりです（Debianパッケージの場合はrpm -ql glibcRed Hatなどのディストリビューションに合わせて調整します）。

lsof -o / | awk '
   BEGIN {
       while (("dpkg -L libc6:amd64 | grep \\\\.so\\$" | getline) > 0)
           libs[$0] = 1
   }
   $4 == "DEL" && $8 in libs {print $2}'

Question 2

grep -w libcこの例では使用されています。静的分析にも使用できますldd。

一致させるには正規表現を使用する必要があります。grep '/libc-'ここではうまくいきますが、libcanのようなものを見つけるには、単語の最後で一致が強制されるような'/libcan\>'ものを使用できます。\>

Answer

grep -w libcこの例では使用されています。静的分析にも使用できますldd。

一致させるには正規表現を使用する必要があります。grep '/libc-'ここではうまくいきますが、libcanのようなものを見つけるには、単語の最後で一致が強制されるような'/libcan\>'ものを使用できます。\>

Question 3

GHOSTの脆弱性テスト（以前に発見したもの）：

wget https://gist.githubusercontent.com/koelling/ef9b2b9d0be6d6dbab63/raw/de1730049198c64eaf8f8ab015a3c8b23b63fd34/gistfile1.c
gcc gistfile1.c -o CVE-2015-0235
./CVE-2015-0235

源泉

Answer

GHOSTの脆弱性テスト（以前に発見したもの）：

wget https://gist.githubusercontent.com/koelling/ef9b2b9d0be6d6dbab63/raw/de1730049198c64eaf8f8ab015a3c8b23b63fd34/gistfile1.c
gcc gistfile1.c -o CVE-2015-0235
./CVE-2015-0235

源泉

ライブラリパッケージを使用して実行中のプロセスを検出するには？

答え1

答え2

答え3

関連情報