V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX 提问指南
n0bug
V2EX  ›  问与答

检测系统里可执行文件被执行了

  •  
  •   n0bug · 2015-10-16 12:02:41 +08:00 · 1908 次点击
    这是一个创建于 3195 天前的主题,其中的信息可能已经有所发展或是发生改变。

    举个栗子, 比如 linux 里面输入 ls 命令,系统先读取 ls 的 ELF 。
    然后启动进程,完成 ls 的功能,退出进程。

    我想在 ls 的 ELF 被读取的时候就检测到, 有什么办法吗? 可以自己写一点代码、脚本什么的,但是请给个思路。

    4 条回复    2015-10-31 03:51:25 +08:00
    zix
        1
    zix  
       2015-10-16 12:18:38 +08:00
    如果是命令行执行的程序,应该都会有历史记录吧,像 bash 都是写在 .bash_history 里的,我觉得监控这个文件的写入就 OK 了。
    Comphuse
        2
    Comphuse  
       2015-10-16 12:38:46 +08:00 via iPhone
    man auditctl
    onlyxuyang
        3
    onlyxuyang  
       2015-10-16 14:55:30 +08:00 via Android
    改 libc 拦系统调用……
    n0bug
        4
    n0bug  
    OP
       2015-10-31 03:51:25 +08:00
    @Comphuse 谢谢~ 居然还有这样的工具
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2570 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 28ms · UTC 15:29 · PVG 23:29 · LAX 08:29 · JFK 11:29
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.