linux下如何確定一個(gè)文件是由哪個(gè)程序生成的？

wang_qiao_ying

    大家好，我的redhat系統(tǒng)下/tmp 下面最近總是生成兩個(gè)隱藏的可執(zhí)行文件 .air .sir，不知被什么東西帶起來(lái)的，估計(jì)是被黑了，

這兩個(gè)隱藏文件會(huì)被生成后啟動(dòng)，跟外網(wǎng)還有通信，刪除也沒(méi)用，一會(huì)還會(huì)出現(xiàn)，請(qǐng)問(wèn)我改如何定位是誰(shuí)生成的啊！該如何解決�。�

humjb_1983

部署audit監(jiān)控。

q1208c

lsof 可以查看當(dāng)前打開(kāi)的所有fd. 如果這兩個(gè)文件正在被打開(kāi), 應(yīng)該可以看到.

er12341

首先試一下lsof，看是什么情況。

wang_qiao_ying

[root@ora39 tmp]# lsof | grep   /tmp/.air
.air      31779      root  txt       REG              253,1    1135000      97923 /tmp/.air

我用上面的操作來(lái)查看是否有進(jìn)程打開(kāi) .air文件，沒(méi)發(fā)現(xiàn)什么東西啊， .air是個(gè)二進(jìn)制可執(zhí)行文件，應(yīng)該是被某個(gè)進(jìn)程調(diào)用起來(lái)的，這個(gè)得怎么查呀？？

Shell_HAT

把文件 .air 刪掉
創(chuàng)建一個(gè)文件夾也叫做 .air
試試

wang_qiao_ying

照樓上說(shuō)的，我把  .air 這個(gè)進(jìn)程kill掉了，然后刪了.air這個(gè)文件，又建了一個(gè).air，現(xiàn)在沒(méi)發(fā)現(xiàn)什么情況。  

這說(shuō)明調(diào)用.air那個(gè)進(jìn)程再次調(diào)用的時(shí)候發(fā)現(xiàn).air已經(jīng)沒(méi)有，但是仍然然查不出是誰(shuí)調(diào)用的.air呀