miten tappaa prosessi

[Mistofelees]

Koneessa näyttäisi pyörivän ohjelma, jota en ymmärrä.
Häviääkö tuo itsekseen, vai pitäisikö huolestua ?
( Tuo komento "nc -l 9999" on annettu tunteja sitten juuri tuossa hakemistossa "/home/bin/Pikkukoneet/tcp/ESP_energia" )

# ps x|grep 9999
 390093 ?        S      0:00 nc -l 9999

# ps -eo pid,user,group,args,etime,lstart | grep '390093'
 390093 root     root     nc -l 9999                        10:11 Tue Feb  6 17:30:47 2024

# pwdx 390093
390093: /home/bin/Pikkukoneet/tcp/ESP_energia

# ls /proc/390093/cwd -l
lrwxrwxrwx 1 root root 0 Feb  6 17:35 /proc/390093/cwd -> /home/bin/Pikkukoneet/tcp/ESP_energia

# ls /proc/390093/exe -l
lrwxrwxrwx 1 root root 0 Feb  6 17:35 /proc/390093/exe -> /usr/bin/nc.openbsd

Olen käyttänyt tuota porttia 9999 aiemmin juuri komennolla "nc -l 9999"
Koittanut tappaa:
- Kone resetoitu
- fuser -k 9999/tcp
- kill -9 390093
- ajettu chkrootkit ja rkhunter

(Hävettää aina kysellä, mutta joskus vaan oma äly loppuu)

[nm]

Olen käyttänyt tuota porttia 9999 aiemmin juuri komennolla "nc -l 9999"
Koittanut tappaa:
- Kone resetoitu

Oletko varma, että järjestelmä käynnistyi uudelleen? Mitä uptime kertoo? Uudelleenkäynnistyksen myötä ainakin prosessin PID muuttuu, vaikka jokin mekanismi käynnistäisi sen automaattisesti uudelleen.

- fuser -k 9999/tcp
- kill -9 390093

Ajoitko killin pääkäyttäjänä/sudolla? Meneekö komento läpi, eli ei listaa virheitä päätteeseen?

[Mistofelees]

Uptime antoi aivan oikean ajan rebootin jäljiltä

Kill on ajettu, kun olen kirjautunut 'sudo su' kyseiselle serverille.

[nm]

Kokeile bootata vielä uudelleen ja katso, ilmaantuuko prosessi edelleen koneelle. Jos käynnistyy, se on asetettu käynnistymään todennäköisesti cronilla tai Systemd:n kautta. Tarkista crontab ja muistele mihin muualle olisit sen voinut itse laittaa.

[Mistofelees]

Kiitos.

Ongelma-prosessi katosi neljännen bootin jälkeen. Pitää silti pistää seurantaan.

cron (crontab) tuli tutkittua huolella. Siellä on iso kasa itsetehtyjä scriptejä, jotka tarkistin kaikki.
Tuo 9999 portti on käytössä ainoastaan sisäverkossa yhtä järjestelmää testatessa. Silloinkin tiukassa valvonnassa.

Systemd olisi ollut seuraavana vuorossa
Ja tietenkin nc:n poistaminen, testailu ja palautus. Ja taas testailu

En olisi tähän niin vakavasti muuten puuttunutkaan muuten, mutta fail2ban:ss näkyi jatkuvaa pommitusta Kiinasta. Ainahan sieltä tulee yrittäjiä, mutta tämä oli harvinaisen sitkeä. Bannista huolimatta hyökkäys jatkui kolmatta vuorokautta. Fail2banin olen säätänyt aika tiukaksi.
Lisäksi serveri tuntui hitaalta. Tämä kuitenkin paljastui reitittimen viaksi.