怀疑一debian中招了，我应该怎么做？

est

局域网大量arp，不能上网，把一台debian多余的网络服务关了就能上网了。我应该怎么检查是否中招啊？

贴一个ps -afx

1. 
   
2.   PID TTY      STAT   TIME COMMAND
   
3.     1 ?        Ss     0:01 init [2]  
   
4.     2 ?        S      0:00 [migration/0]
   
5.     3 ?        SN     0:00 [ksoftirqd/0]
   
6.     4 ?        S<     0:00 [events/0]
   
7.     5 ?        S<     0:00 [khelper]
   
8.     6 ?        S<     0:00 [kthread]
   
9.     9 ?        S<     0:00  \_ [kblockd/0]
   
10.    10 ?        S<     0:00  \_ [kacpid]
    
11.    67 ?        S<     0:00  \_ [kseriod]
    
12.   101 ?        S      0:00  \_ [pdflush]
    
13.   102 ?        S      0:00  \_ [pdflush]
    
14.   103 ?        S<     0:00  \_ [kswapd0]
    
15.   104 ?        S<     0:00  \_ [aio/0]
    
16.   547 ?        S<     0:00  \_ [khubd]
    
17.   859 ?        S<     0:00  \_ [kjournald]
    
18. 1343 ?        S<     0:00  \_ [kpsmoused]
    
19. 1356 ?        S<     0:00  \_ [kgameportd]
    
20. 1568 ?        S<     0:00  \_ [kmirrord]
    
21. 1598 ?        S<     0:00  \_ [kjournald]
    
22. 1600 ?        S<     0:00  \_ [kjournald]
    
23. 1602 ?        S<     0:00  \_ [kjournald]
    
24. 1604 ?        S<     0:00  \_ [kjournald]
    
25. 2310 ?        S<     0:00  \_ [nfsd4]
    
26. 2320 ?        S<     0:00  \_ [rpciod/0]
    
27. 1036 ?        S<s    0:00 udevd --daemon
    
28. 1685 ?        Ss     0:00 /sbin/portmap
    
29. 1917 ?        Ss     0:00 /sbin/syslogd
    
30. 1923 ?        Ss     0:00 /sbin/klogd -x
    
31. 1978 ?        S      0:00 /bin/sh /usr/bin/mysqld_safe
    
32. 2015 ?        Sl     0:00  \_ /usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --pid-file=/var/run/mysqld/mysqld.pid --skip-external-locking --port=3306 --socket=/var/run/mysqld/mysqld.sock
    
33. 2016 ?        S      0:00  \_ logger -p daemon.err -t mysqld_safe -i -t mysqld
    
34. 2131 ?        Ss     0:00 /usr/sbin/acpid -c /etc/acpi/events -s /var/run/acpid.socket
    
35. 2215 ?        Ss     0:00 /usr/bin/freshclam -d --quiet
    
36. 2262 ?        Ss     0:00 /usr/sbin/exim4 -bd -q30m
    
37. 2279 ?        S      0:00 /usr/sbin/atalkd
    
38. 2283 ?        S      0:00 /usr/sbin/papd
    
39. 2285 ?        S      0:00 /usr/sbin/afpd -U uams_dhx.so,uams_clrtxt.so,uams_randnum.so -g nobody -c 50 -n nu-samba
    
40. 2287 ?        S      0:00 /usr/sbin/cnid_metad
    
41. 2311 ?        S      0:00 [nfsd]
    
42. 2312 ?        S      0:00 [nfsd]
    
43. 2313 ?        S      0:00 [nfsd]
    
44. 2314 ?        S      0:00 [nfsd]
    
45. 2315 ?        S      0:00 [nfsd]
    
46. 2316 ?        S      0:00 [nfsd]
    
47. 2317 ?        S      0:00 [nfsd]
    
48. 2318 ?        S      0:00 [nfsd]
    
49. 2319 ?        S      0:00 [lockd]
    
50. 2324 ?        Ss     0:00 /usr/sbin/rpc.mountd
    
51. 2334 ?        Ss     0:00 /usr/sbin/inetd
    
52. 2341 ?        Ss     0:00 /usr/sbin/nmbd -D
    
53. 2343 ?        Ss     0:00 /usr/sbin/smbd -D
    
54. 2352 ?        S      0:00  \_ /usr/sbin/smbd -D
    
55. 2363 ?        Ss     0:00 /usr/sbin/vsftpd
    
56. 2369 ?        Ss     0:00 /usr/sbin/winbindd
    
57. 2385 ?        S      0:00  \_ /usr/sbin/winbindd
    
58. 2761 ?        S      0:00  \_ /usr/sbin/winbindd
    
59. 2414 ?        Ss     0:00 /sbin/rpc.statd
    
60. 2423 ?        Ss     0:00 /usr/sbin/rpc.idmapd
    
61. 2450 ?        Ss     0:00 /usr/sbin/atd
    
62. 2457 ?        Ss     0:00 /usr/sbin/cron
    
63. 2473 ?        Ss     0:00 /usr/sbin/apache2 -k start
    
64. 2474 ?        S      0:00  \_ /usr/sbin/fcgi-pm -k start
    
65. 2883 ?        S      0:03  |   \_ /usr/bin/python /usr/share/trac/cgi-bin/trac.fcgi
    
66. 2517 ?        S      0:00  \_ /usr/sbin/apache2 -k start
    
67. 2518 ?        S      0:00  \_ /usr/sbin/apache2 -k start
    
68. 2519 ?        S      0:00  \_ /usr/sbin/apache2 -k start
    
69. 2520 ?        S      0:00  \_ /usr/sbin/apache2 -k start
    
70. 2521 ?        S      0:00  \_ /usr/sbin/apache2 -k start
    
71. 2841 ?        S      0:00  \_ /usr/sbin/apache2 -k start
    
72. 2499 tty1     Ss+    0:00 /sbin/getty 38400 tty1
    
73. 2500 tty2     Ss+    0:00 /sbin/getty 38400 tty2
    
74. 2501 tty3     Ss+    0:00 /sbin/getty 38400 tty3
    
75. 2502 tty4     Ss+    0:00 /sbin/getty 38400 tty4
    
76. 2505 tty5     Ss+    0:00 /sbin/getty 38400 tty5
    
77. 2506 tty6     Ss+    0:00 /sbin/getty 38400 tty6
    
78. 2645 ?        Ss     0:00 /usr/sbin/sshd
    
79. 2953 ?        Ss     0:00  \_ sshd: est [priv]
    
80. 2957 ?        S      0:00      \_ sshd: est@pts/0  
    
81. 2958 pts/0    Ss     0:00          \_ -bash
    
82. 2994 pts/0    S      0:00              \_ su
    
83. 2995 pts/0    S      0:00                  \_ bash
    
84. 4092 pts/0    R+     0:00                      \_ ps afx
    

复制代码

xiaohuforever

在局域网里抓包，然后看有问题的数据包的mac是不是那台debian机器的不就知道了？

est

Post by xiaohuforever;1823704
在局域网里抓包，然后看有问题的数据包的mac是不是那台debian机器的不就知道了？

抓出来就是这台debian的，囧