Исходное сообщение
"Непонятный процесс спамит в почу" Отправлено Nird, 29-Май-17 17:01
Доброго дня. Сервер с debian с недавних пор появились процессы спамящие в почту, но вот найти исполняемый файл скрипта никак не получается. $lsof | grep 14008 bash      14008               www-data  cwd       DIR                9,1       4096          2 / bash      14008               www-data  rtd       DIR                9,1       4096          2 / bash      14008               www-data  txt       REG                9,1      10416     922609 /usr/bin/perl bash      14008               www-data  mem       REG                9,1      27104     922618 /usr/lib/perl/5.18.2/auto/File/Glob/Glob.so bash      14008               www-data  mem       REG                9,1      85232     922616 /usr/lib/perl/5.18.2/auto/POSIX/POSIX.so bash      14008               www-data  mem       REG                9,1      18632     922612 /usr/lib/perl/5.18.2/auto/Fcntl/Fcntl.so bash      14008               www-data  mem       REG                9,1      43416     922620 /usr/lib/perl/5.18.2/auto/Socket/Socket.so bash      14008               www-data  mem       REG                9,1      18728     922623 /usr/lib/perl/5.18.2/auto/IO/IO.so bash      14008               www-data  mem       REG                9,1    4169248     917647 /usr/lib/locale/locale-archive bash      14008               www-data  mem       REG                9,1      43368    1443180 /lib/x86_64-linux-gnu/libcrypt-2.19.so bash      14008               www-data  mem       REG                9,1     141574    1443193 /lib/x86_64-linux-gnu/libpthread-2.19.so bash      14008               www-data  mem       REG                9,1    1071552    1443186 /lib/x86_64-linux-gnu/libm-2.19.so bash      14008               www-data  mem       REG                9,1      14664    1443192 /lib/x86_64-linux-gnu/libdl-2.19.so bash      14008               www-data  mem       REG                9,1    1853216    1443182 /lib/x86_64-linux-gnu/libc-2.19.so bash      14008               www-data  mem       REG                9,1    1608280     922610 /usr/lib/libperl.so.5.18.2 bash      14008               www-data  mem       REG                9,1     149120    1443190 /lib/x86_64-linux-gnu/ld-2.19.so bash      14008               www-data  mem       REG                9,1     190966    1186997 /usr/share/locale-langpack/ru/LC_MESSAGES/libc.mo bash      14008               www-data  mem       REG                9,1      26258     920574 /usr/lib/x86_64-linux-gnu/gconv/gconv-modules.cache bash      14008               www-data    0r      CHR                1,3        0t0  165203553 /dev/null bash      14008               www-data    1w      CHR                1,3        0t0  165203553 /dev/null bash      14008               www-data    2w      CHR                1,3        0t0  165203553 /dev/null bash      14008               www-data    3u     IPv4          427740814        0t0        TCP server.ru:59516->mx1.hotmail.com:smtp (SYN_SENT) ... Очевидно что скрипт на perl и запускает его bash скрипт. Но откуда ноги растут непонятно. $whowatch xSTART: Wed May 24 18:21:30 2017                   x xEXE: /usr/bin/perl                                x xROOT: /                                           x xCWD: /     Как найти виновника "торжества"?

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Доброго дня. > Сервер с debian с недавних пор появились процессы спамящие в почту, но > вот найти исполняемый файл скрипта никак не получается. > $lsof | grep 14008 > bash 14008 > www-data > cwd DIR > > 9,1 4096 > 2 / > bash 14008 > www-data > rtd DIR > > 9,1 4096 > 2 / > bash 14008 > www-data > txt REG > > 9,1 10416 > 922609 /usr/bin/perl > bash 14008 > www-data > mem REG > > 9,1 27104 > 922618 /usr/lib/perl/5.18.2/auto/File/Glob/Glob.so > bash 14008 > www-data > mem REG > > 9,1 85232 > 922616 /usr/lib/perl/5.18.2/auto/POSIX/POSIX.so > bash 14008 > www-data > mem REG > > 9,1 18632 > 922612 /usr/lib/perl/5.18.2/auto/Fcntl/Fcntl.so > bash 14008 > www-data > mem REG > > 9,1 43416 > 922620 /usr/lib/perl/5.18.2/auto/Socket/Socket.so > bash 14008 > www-data > mem REG > > 9,1 18728 > 922623 /usr/lib/perl/5.18.2/auto/IO/IO.so > bash 14008 > www-data > mem REG > > 9,1 4169248 917647 > /usr/lib/locale/locale-archive > bash 14008 > www-data > mem REG > > 9,1 43368 > 1443180 /lib/x86_64-linux-gnu/libcrypt-2.19.so > bash 14008 > www-data > mem REG > > 9,1 141574 1443193 > /lib/x86_64-linux-gnu/libpthread-2.19.so > bash 14008 > www-data > mem REG > > 9,1 1071552 1443186 /lib/x86_64-linux-gnu/libm-2.19.so > bash 14008 > www-data > mem REG > > 9,1 14664 > 1443192 /lib/x86_64-linux-gnu/libdl-2.19.so > bash 14008 > www-data > mem REG > > 9,1 1853216 1443182 /lib/x86_64-linux-gnu/libc-2.19.so > bash 14008 > www-data > mem REG > > 9,1 1608280 922610 > /usr/lib/libperl.so.5.18.2 > bash 14008 > www-data > mem REG > > 9,1 149120 1443190 > /lib/x86_64-linux-gnu/ld-2.19.so > bash 14008 > www-data > mem REG > > 9,1 190966 1186997 > /usr/share/locale-langpack/ru/LC_MESSAGES/libc.mo > bash 14008 > www-data > mem REG > > 9,1 26258 > 920574 /usr/lib/x86_64-linux-gnu/gconv/gconv-modules.cache > bash 14008 > www-data > 0r CHR > > 1,3 0t0 > 165203553 /dev/null > bash 14008 > www-data > 1w CHR > > 1,3 0t0 > 165203553 /dev/null > bash 14008 > www-data > 2w CHR > > 1,3 0t0 > 165203553 /dev/null > bash 14008 > www-data > 3u IPv4 > 427740814 > 0t0 > TCP server.ru:59516->mx1.hotmail.com:smtp (SYN_SENT) > ... > Очевидно что скрипт на perl и запускает его bash скрипт. Но откуда > ноги растут непонятно. > $whowatch > xSTART: Wed May 24 18:21:30 2017 > > x > xEXE: /usr/bin/perl > > x > xROOT: / > > > x > xCWD: / > Как найти виновника "торжества"?
	Введите код, изображенный на картинке: