不正な "tor"プロセスを終了させよう

Question

私は自分のシステムで不正プログラムを実行しています。私はLinuxマシンを使用しています。私はそのプロセスのPIDを見つけることを試みたlsof -i:9050 and lsof -i|grep 'tor'

私はそれに何かを見つけることができませんでした。以下は投げられたエラーです：

May 09 22:57:15.981 [notice] Tor v0.2.3.25 (git-17c24b3118224d65) running on Linux. 
May 09 22:57:15.981 [notice] Tor can't help you if you use it wrong! Learn how to be safe at https://www.torproject.org/download/download#warning 
May 09 22:57:15.981 [notice] Read configuration file "/etc/tor/torrc". 
May 09 22:57:15.986 [warn] ControlPort is open, but no authentication method has been configured. This means that any program on your computer can reconfigure your Tor. That's bad! You should upgrade your Tor controller as soon as possible. 
May 09 22:57:15.986 [notice] Initialized libevent version 1.4.13-stable using method epoll. Good. 
May 09 22:57:15.986 [notice] Opening Socks listener on 127.0.0.1:9050 
May 09 22:57:15.986 [notice] Opening Control listener on 127.0.0.1:9051 
May 09 22:57:15.000 [warn] It looks like another Tor process is running with the same data directory. Waiting 5 seconds to see if it goes away. 
May 09 22:57:20.000 [err] No, it's still there. Exiting. 

何か助けていただければ幸いです。

Answer 1

どのように不正なプロセスがあなたのシステムに到達しましたか？そこにインストールして、どこで忘れてしまったのですか、ハッキングしましたか？後であれば、次の段落をスキップしてください。

あなたが監視しているTCPポートを検索し、そこからプロセスIDを取得できます。 netstat -anpを実行し、該当するポートでリッスンしている人を検索します。ポートが何であるかわからない場合は、ネットワークスニファ（tcpdumpまたはwiresharkなど）を使用することをお勧めします。上のコマンドをrootとして実行すると、リスニングプロセスのPIDが与えられます。

ポートが見つからない場合、またはそこにポートがありますが、プロセスがpsおよびkillで表示されない場合は、ハッキングされている可能性があります。現代のルートキットはプロセスとファイルを隠すことができるので、どこにいるのか分かっていてもアクセスすることはできません。もしそうなら、プロセスを強制終了しても構いません。あなたはもっと大きな問題を抱えています。

侵入されたシステムからルートキットを削除する一般的な効果的な方法はありません。 このような状況では、システムを再インストールすることをお勧めします。また、あなたのハッキング（通常は古くなったサービス）に使用されたドアを見つけて閉じてみてください。 netstat -anpを追加するために編集

はroot以外で操作している場合でも動作します。あなた自身のユーザーのPIDだけが表示されますが、ここでやろうとしていることに対してはおそらく十分です。 Torはあなたがやっている何かの副産物として実行されている場合

また、その後、straceのは、あなたの友人かもしれない：へ strace -e execve -f -o /tmp/trace意志出力を/ tmp /あなたのプロセスとその子のいずれかによって行われる任意のexecveの呼び出しをトレース。そこにはgrepだけがあり、PIDが何であるかを知ることができます。そこから、一般的なケースでそれを見つける方法がわかります。

Answer 2

何も戻ってこない場合にTorが別のユーザーとして実行されている必要があるため、試したlsofコマンドを実行するには、ルートにする必要があります。

Torが、別のプロセスがすでに同じデータディレクトリで実行されていると誤って伝えていない場合、あなたはできることがいくつかあります。 （必要に応じてポート）あなたDataDirectoryを変更

あなたがそれらを側

に並べて実行できるようにするだけ何か他のものへ （設定の詳細については /etc/tor/torrcを見て）の代わりに、独自のを実行している既存のTorのプロセスを使用し

ログでは、ControlPortは認証なしで開いています。これを試して、既存のプロセスのPIDを取得することができます：

> telnet localhost 9051 
> AUTHENTICATE 
< 250 OK 
> GETINFO process/pid 
< 250-process/pid=2297 
< 250 OK