Выяснение корней висящего процесса от пользователя apache

[kay]

Завелся хулиган, но никак не могу выяснить что за дыру в движке он использует. В процессах висят grep'ы, запущенные от www-data. PHP скрипты запускаются через apache2 handler. Как выяснить что за скрипт запускает команды?

[censor]

htop не вариант?

[kay]

htop не вариант?

ну htop только и показывается что www-data запускает процесс sh -c grep blabla, а вот какой скрипт это вызывает htop никогда и не покажет.

[perimetral]

Не уверен, что поможет, но у sh есть замечательное свойство - history.
Могу ошибаться - но по команде показівает всю история команд за сессию. Так что ищи там (просто в консоли - history). Как найдешь, что www-data запускает процесс, должен будешь увидеть и имя скрипта (если конечно то, чем www-data запускает процесс, тоже скрипт).

[kay]

Не уверен, что поможет, но у sh есть замечательное свойство - history.
Могу ошибаться - но по команде показівает всю история команд за сессию. Так что ищи там (просто в консоли - history). Как найдешь, что www-data запускает процесс, должен будешь увидеть и имя скрипта (если конечно то, чем www-data запускает процесс, тоже скрипт).

да нет, там apache handler.

[с42509]

lsof | grep www
Там поищи.

[kay]

Нашел. Но вручную. Залит был шелл. clamav его в упор не видит. может посоветуете антивирус, который шеллы мониторит?