В каждом процессе одни и те же ip адреса и порты

Я как-то решил программы на компе через дизассемблер прогнать, чтобы посмотреть, как они устроены. Открываю одну — очень странное начало. Открываю другую — такое же начало, совершенно не похожее на нормальный софт. И третья такая же. И четвёртая.

В итоге выяснилось, что я тогда Win95.CIH подхватил.

В итоге выяснилось, что я тогда Win95.CIH подхватил.

Наверное в том момент ты подумал о ( а что если создать базу вирусных сигнатур )!

Блин, я как то хотел увидеть вирусные сигнатуры у clamav, тогда я незнал как она устроена. Оказалось что clamav хранит хешированную базу, то есть когда программу сканирует, берет определенный размер программы, хеширует его и сравнивает со своей базой хеша.

А все таки, мне что ли придется отправлять сообщения ядру чтобы получить нужные данные от правильного pid?

RTFM.

/proc/$PID/net/tcp это не список портов для процесса. Это список портов для текущего пространства имен.

Добавлю, что уже есть netstat, кому может понадобиться твой велосипед?

p.s. Делай название темы понятное ― я исправил, но вообще должен был удалить.

Добавлю, что уже есть netstat, кому может понадобиться твой велосипед?

Я хочу узнать какая программа отправляет данные на подозрительный ip адрес. Она выполнятся будет на android.

Добавлю, что уже есть netstat, кому может понадобиться твой велосипед?

Я уж думал что щас по быстрому решу проблему. А оказывается придется заглядывать в чужой код. А помимо netstat и lsof есть что нибудь ещё? Может знаешь легкий способ, чтобы ускорить понимание.

Делаешь readlink на каждый из открытых файловых дескрипторов (/proc/$PID/fd/*), получаешь номер индексного дескриптора.

По индексному дескриптору находишь в файлах /proc/$PID/net/{tcp,udp,udplite}{,6} нужную запись.

p.s. На Android тоже можно использовать netstat.

netstat вроде deprecated, на замену пришел ss.

Помимо TCP существует UDP. Как ты будешь ловить его lsof'ом?

Помимо TCP существует UDP. Как ты будешь ловить его lsof'ом?

ну lsof показывает какие то udp, наверное локальные. А так, я когда смотрел трафик то android обменивался по tcp данными, так что наверное придется в lsof заглянуть. Я уже наверное смотрел как lsof написан, и скорее всего ничего не понел, надо будет еще посмотреть.

https://mitmproxy.org/

https://github.com/facebook/osquery в общем можно отсюда код взять.

Делаешь readlink на каждый из открытых файловых дескрипторов (/proc/$PID/fd/*), получаешь номер индексного дескриптора.

Спасибо, это очень помогло.

Попробуйте открыть лучше в hex редакторе. Там ещё страннее. У линуксовых программ начало одно, а у виндовсовых - совсем другое!

1) Прописывай нужные правила в фаервол.

2) Делай ifconfig ipfw0 create

3) Делай tcpdump -i ipfw0 -w dump.cap

4) Смотри dump.cap в wireshark

Показывал еще vendor, но щас когда проверял работал youtube

0: 192.168.1.5:38228 74.125.131.198:443 227550
15217: com.google.android.youtube
-----------------------------------------------------------

наверное предложишь использовать nanosleep?

добавил еще uid чтобы видно было.

-----------------------------------------------------------
0: 192.168.1.5:60648 64.233.162.138:443 inode: 258933 uid: 10055
1: 192.168.1.5:60649 64.233.162.138:443 inode: 258936 uid: 10055
2: 192.168.1.5:60651 64.233.162.138:443 inode: 260268 uid: 10055
3: 192.168.1.5:60650 64.233.162.138:443 inode: 258939 uid: 10055
4: 192.168.1.5:60652 64.233.162.138:443 inode: 260288 uid: 10055
14314: com.android.vending
-----------------------------------------------------------

Есть ли какой нибудь способ чтобы не загружать проц, и программа постоянно выполнялась?

Асинхронно, насколько мне известно, никак (ни через netlink, ни через inotify). Соответственно только синхронно с заданной задержкой через *sleep.

Есть ли какой нибудь способ чтобы не загружать проц, и программа постоянно выполнялась?

Вам чтобы батарейку экономить, или чтобы не мешало другим процессам? Если второе, то уменьшить себе приоритет никогда не возбранялось. А вообще этот вопрос не совсем корректен, ибо либо у вас есть что делать, либо вы ожидаете какого-нибудь события.