首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

ld-linux-x86-64挖矿木马实战记录

这两年见证了公司从600人发展到1200+的过程,虽然公司在安全投入上还算慷慨,但是人员编制有严格要求,一个人的安全部只能把精力放在基础/重点工作上。其中防病毒这块也是两年前才正式部署了企业版防病毒软件,推广过程中也遇到了很多阻力及各种奇葩的安全理念(比如生产服务器我不敢装防病毒,万一瘫了怎么办;领导的电脑,防病毒还是别装吧,装了会很慢),这期间也遇到多起病毒木马事件,每次我都会借助安全事件,狠狠的推一把防病毒软件,目前为止,已经实现所有PC和Windows服务器防病毒软件的百分百覆盖。现将几起病毒木马的处理过程整理一下跟大家分享,本系列偏向于实战。

03

Address already in use: JVM_Bind(端口冲突)

2011-7-20 11:05:18 org.apache.catalina.core.StandardServer await 严重: StandardServer.await: create[8005]: java.net.BindException: Address already in use: JVM_Bind at java.net.PlainSocketImpl.socketBind(Native Method) at java.net.PlainSocketImpl.bind(PlainSocketImpl.java:359) at java.net.ServerSocket.bind(ServerSocket.java:319) at java.net.ServerSocket.<init>(ServerSocket.java:185) at org.apache.catalina.core.StandardServer.await(StandardServer.java:373) at org.apache.catalina.startup.Catalina.await(Catalina.java:662) at org.apache.catalina.startup.Catalina.start(Catalina.java:614) at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method) at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39) at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25) at java.lang.reflect.Method.invoke(Method.java:597) at org.apache.catalina.startup.Bootstrap.start(Bootstrap.java:289) at org.apache.catalina.startup.Bootstrap.main(Bootstrap.java:414) 2011-7-20 11:05:18 org.apache.coyote.http11.Http11Protocol pause

02

PID为0的系统空闲进程连接状态为TIME_WAIT

如果您使用命令提示符执行命令查看网络连接情况,您会发现,PID为0的System Idle Process(系统空闲进程)将会出现很多网络端口占用情况。下面是一个示例: Proto Local Address Foreign Address State PID TCP 127.0.0.1:30606 127.0.0.1:3129 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3131 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3133 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3135 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3137 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3139 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3141 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3143 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3145 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3147 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3149 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3151 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3153 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3155 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3157 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3159 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3161 TIME_WAIT 0 TCP 127.0.0.1:30606 127.0.0.1:3165 TIME_WAIT 0 我们这里使用了“netstat -a -n -o”命令,参数-a用来显示所有的连接和监听端口,参数-o用来显示相应系统进程的PID,使用了参数-n以数字(IP)的方式显示地址和端口。 那么是不是说明计算机中了病毒了呢?其实并不是这样,这要从为什么系统空闲进程要占用端口说起了。 通过仔细观察,我们可以发现,命令结果列出的所有PID为0的通信的状态均为Time_Wait,而决不会是Established建立状态或者是Listening监听状态,这个就要涉及到一个TCP Socket的问题了,有兴趣深入研究的朋友们可以查阅一下更多的有关文章,因为概念性的东西太多了,因此我们在此仅进行一个简要的解释。 原因是这样的: 一、关于Time_Wait状态: TCP TIME-WAIT 延迟断开TCP 连接时,套接字对被置于一种称为TIME-WAIT 的状态。这样,新的连接不会使用相同的协议、源 IP 地址、目标 IP 地址、源端口和目标端口,直到经过足够长的时间后,确保任何可能被错误路由或延迟的段没有被异常传送。因此,Time_Wait不是多余的状态,而是为了保证通信的正确性、准确性而存在的。而且,这样的状态往往都交给系统空闲进程处理了,因为具体的应用程序已经完成了通信过程,发出了数据。因此,这里PID为0的通信均是已

01
领券