恶意进程排查

探索ctf用户可以使用的特权命令都有哪些
sudo -l
发现可以
(ALL) NOPASSWD: /usr/bin/kill
通过ps -ef发现了一个systemd-helper，再尝试了下，发现环境里可以使用lsof，
8为其PID值

lsof -p 8
得到
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
frps 8 root cwd unknown /proc/8/cwd (readlink: Permission denied)
frps 8 root rtd unknown /proc/8/root (readlink: Permission denied)
frps 8 root txt unknown /proc/8/exe (readlink: Permission denied)
frps 8 root NOFD /proc/8/fd (opendir: Permission denied)
发现systemd-helper其实就是frps，接下来就是kill。
8为其PID值

sudo kill -9 8
watch cat /checklog
你的CTF题目实战流程总结：

信息搜集：sudo -l -> 发现可以无密码使用 kill。
进程排查：ps -ef -> 发现可疑进程 systemd-helper (PID为8)。
深度分析：lsof -p 8 -> 确认该进程真实身份为 frps（内网穿透工具，极大可能是后门）。
清除处置：利用发现的sudo权限 sudo kill -9 8 -> 强制终止恶意进程。

把这个命令清单保存下来，下次遇到类似的Linux应急响应或权限提升题目时，按照用户->进程->网络->服务->文件->日志的顺序进行排查，就能系统地找到突破口
————————————————

                        版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

原文链接：https://blog.csdn.net/qq_36438489/article/details/151905689