CPU深夜狂飆，一幫大佬都傻眼了...
圖片來自 Pexels
安全部長迅速召集大家商討應對之策。
“諸位，突發情況，CPU 占用率突然飆升，并且長時間沒有降下來的趨勢，CPU 工廠的阿 Q 向我們表達了強烈抗議。”
這時，一旁的 kill 命令說到：“部長莫急，叫 top 老哥看一下誰在占用 CPU，拿到進程號 pid，我把他干掉就好了。”
此言一出，在座的大伙都點頭贊許，驚恐之色稍解。
top 命令站了起來，面露得意之色，說到：“大家請看好了”，說完，打印出了當前的進程列表：
眾人瞪大了眼睛，瞅了半天，也沒看出哪個進程在瘋狂占用 CPU，top 老哥這下尷尬了。
這時，一旁的 ps 命令湊了上來，“讓我來試試。”
ps 命令深吸了一口氣，也打印出了進程列表。然而，依舊沒有任何可疑的進程。
“你倆怎么回事，為什么沒有?”，安全部長有些不悅。
“部長，我倆都是遍歷的 /proc/ 目錄下的內容，按理說，所有的進程都會在這里啊，我也想不通為什么找不到···”，top 老哥委屈的說到。
“遍歷，怎么遍歷的?”
“就是通過 opendir/readdir 這些系統調用函數來遍歷的，這都是帝國提供的標準接口，應該不會出錯，除非···”，說到這，top 打住了。
“除非什么?”
“除非這些系統調用把那個進程給過濾掉了，那樣的話我就看不到了，難道有人潛入帝國內核，篡改了系統調用?”
安全部長瞪大了眼睛，真要如此，那可是大事啊!
眼看部長急的團團轉，一旁的 netstat 起身說到：“部長，我之前結識一好友，名叫 unhide，捉拿隱藏進程是他的拿手好戲，要不請他來試試?”
部長大喜，“還猶豫什么，趕緊去請啊!”
“已經聯系了，隨后就到。”
部長看著 netstat，說到：“正好，趁著這個功夫，你先來看看現在有沒有對外可疑的連接。”
netstat 點了點頭，隨后打印出了所有的網絡連接信息：
“來來來，你們挨個來認領，看看都是誰的”，部長說到。
“這個 80 端口的服務是我的”，nginx 站了出來。
“這個 6379 端口服務是我的”，redis 也站了出來。
“這個，9200 是我的”，elasticsearch 說到。
“3306 那個是我的”
“8182 是我的”
······
一陣嘈雜后，只剩下一個連接無人認領：
- tcp 0 0 192.168.0.4:51854 88.99.193.240:7777 ESTABLISHED -
“部長，這八成就是躲在暗處那家伙的連接”，netstat 說到。
安全部長思考片刻問到：“curl 何在?來訪問下這個 IP 地址，探探對方虛實。”
curl 站了出來，“來了來了!”
curl 小心翼翼的發送了一個 HTTP 請求過去，對方竟然回信了：
一行醒目的 mining poll 出現在大家面前。
“挖，挖礦病毒!”，top 老哥叫了出來。
這一下，在場所有的人都倒吸了一口涼氣。
部長趕緊叫防火墻 firewall 配置了一條規則，將這條連接掐斷。
就在這時，unhide 走了進來。
簡單了解了情況后，unhide 拍拍胸脯說到：“這事交給我了，一定把這家伙給揪出來。”
隨后，unhide 一陣操作猛如虎，輸出了幾行信息：
- Found HIDDEN PID 13053
- Executable: "/usr/bin/pamdicks"
- $USER=root
- Found HIDDEN PID 13064
- Executable: "/usr/bin/pamdicks"
- $USER=root
眾人皆湊了過來，瞪大了眼睛，unhide 老哥果然不是蓋的，果真發現了幾個可疑分子。
top 有點表示懷疑，問到：“敢問兄臺用的什么路數，為何我等都看不到這幾個進程的存在?”
unhide 笑道：“沒什么神秘的，其實我也是遍歷 /proc/ 目錄，和你們不同的是，我不用 readdir，而是從進程 id 最小到最大，挨個訪問 /proc/$pid 目錄，一旦發現目錄存在而且不在 ps 老哥的輸出結果中，那這就是一個隱藏進程。”
一旁的 ps 笑道：“原來還有我的功勞吶。”
“找到了，就是這家伙!”，netstat 大聲說到。
“你怎么這么肯定?”部長問到。
“大家請看，進程打開的文件都會在 /proc/pid/fd 目錄下，socket 也是文件，我剛看了一下，這個進程剛好有一個 socket。再結合 /proc/tcp 信息，可以確定這個 socket 就是目標端口號 7777 的那一條!”
“好家伙!好家伙”，眾人皆嘖嘖稱贊。
“還等什么，快讓我來干掉它吧!”，kill 老哥已經按捺不住了。
“讓我來把它刪掉”，rm 小弟也磨刀霍霍了。
部長搖頭說到：“且慢，cp 何在，把這家伙先備份到隔離目錄去，以待秋后算賬”。
cp 拷貝完成，kill 和 rm 兩位一起上，把背后這家伙就地正法了。
top 趕緊查看了最新的資源使用情況，驚喜的歡呼：“好了好了，CPU 占用率總算降下去了，真是大快人心。”
天色已然不早，沒多久，眾人先后離開，帝國恢復了往日的平靜。
不過，安全部長的臉上，仍然是一臉愁容。
“部長，病毒已經被清除，為何還是悶悶不樂呢?”，助理問到。
“病毒雖已清除，但卻不知這家伙是如何闖入的，還有背后暗中保護隱藏它的人又是誰，這實讓我在很憂心啊!”
不知不覺夜已深，帝國安全警報突然再一次響了起來。
“這又是怎么回事?”，部長厲聲問到。
“部長，rm 那小子是假冒的，今天他騙了我們，病毒根本沒刪掉，又卷土重來了!”
部長望向遠處的天空，CPU 工廠門口的風扇又開始瘋狂地轉了起來···
作者：軒轅之風
編輯：陶家龍
出處：轉載自公眾號編程技術宇宙(ID：xuanyuancoding)
