那就试试看用auditd来记录一下UDP调用能不能有啥收获
当程序通过网络发送数据时会用 socket(PF_INET, SOCK_DGRAM, X)这个系统调用,PF_INET的值是2，
如果是TCP那么为SOCK_STREAM，值是1；如果是UDP那么为SOCK_DGRAM，值是 2。
那么可以添加一条audit规则
复制内容到剪贴板
代码:
auditctl -a exit,always -F arch=b64 -F a0=2 -F a1=2 -S socket -k SOCKETUDP
然后用
复制内容到剪贴板
代码:
ausearch -i -ts today -k SOCKETUDP
一般就可以看到是那个进程在发送UDP包了。
查完，删除规则就把 -a 换成 -d。
内容全部来源于网络收集，如有侵权，请联系网站删除：QQ：24596024