这个perl恶意软件对更改"$ 0"有什么作用？

Question

我们在周末侵入了我们的服务器,我正试图追踪入侵者的踪迹.它们似乎运行了一个perl脚本,导致一个名为init100%运行的www数据进程.不幸的是我没有perl专业知识,所以我不知道这是做什么的:

 6 my $processo =("atd","sendmail: accepting connections","rpc.idmapd","syslogd -m 0","/sbin/udevd -d","/sbin/init");
# ...
24 use IO::Socket;
25 use Socket;
26 use IO::Select;
27 chdir("/tmp");
28 $servidor="$ARGV[0]" if $ARGV[0];
29 $0="$processo"."\0"x16;;
30 my $pid=fork;
31 exit if $pid;

在我看来,第29行的指令旨在以某种方式隐藏过程.它究竟做了什么？

Answer 1

来自perldoc perlvar:

在某些(但不是全部)操作系统上,分配以$0修改ps程序看到的参数区域.在某些平台上,您可能必须使用特殊ps选项或不同的选项ps来查看更改.修改它$0作为指示当前程序状态的方式比隐藏正在运行的程序更有用.

所以是的,你的断言是正确的.它正试图掩盖它是如何出现的ps.