信息安全 - 调查受感染的 Linux 服务器 - 吾爱随笔录

我正在调查一台全天对互联网上的随机 IP 进行 ping 操作的服务器。我设置了 IPtables 来记录和丢弃（输入和输出）数据包，但我仍然在网络防火墙上看到 icmp 流量。我似乎无法跟踪启动这些的过程。

查看了很多关于使用 tcp/upd 端口的网络流量的问题，但 icmp 不使用端口。

https://unix.stackexchange.com/questions/306524/monitor-which-application-generate-icmp-ping-traffic

我试过 iptables、tcpdump、lsof 和 netstat。我可能没有正确使用它们，或者很难追踪快速 icmp 数据包。

Red Hat Linux 5.x VM，我无法升级，因为它运行旧网页

Chain OUTPUT (policy ACCEPT 2129K packets, 1555M bytes) pkts bytes target prot opt in out source destination 2834 248K LOG icmp -- * * 0.0.0.0/0 0.0.0.0/0 LOG flags 8 level 4 2834 248K DROP icmp -- * * 0.0.0.0/0 0.0.0.0/0

Dec  6 14:51:41 xx kernel: IN=eth0 OUT= MAC=00:0c:29 SRC=72.204.209.197 
DST=x LEN=96 TOS=0x00 PREC=0x00 TTL=252 ID=29693 PROTO=ICMP TYPE=3 CODE=13 
[SRC=x DST=192.168.224.161 LEN=60 TOS=0x00 PREC=0x00 TTL=61 ID=56354 DF PROTO=TCP SPT=53646 DPT=17778 WINDOW=5840 RES=0x00 SYN URGP=0 ]