Danke für die Tipps!
Der lsof zeigt mir für den prozess "gnome-terminal-server" ein paar
fd für bereits gelöschte Dateien in /tmp/ an, a la:
lrwx------ 1 avl avl 64 Jul 5 10:06 26 -> '/tmp/#1966388 (deleted)'
lrwx------ 1 avl avl 64 Jul 5 10:06 25 -> '/tmp/#1966396 (deleted)'
lrwx------ 1 avl avl 64 Jul 5 10:06 24 -> '/tmp/#1966816 (deleted)'
Über z.B. /proc/<pid>/fd/24 kann man diese dateien zwar lesen, aber
der Inhalt ist binär und erschließt sich mir (auch mit einem hexdump)
nicht so ohne weiteres.
Auffälligkeit:
- Es sind große 0-byte blöcke drin - anfangs, zwischendrin und auch am ende,
- Nach jedem 0er block fängt es an einer "runden" adresse (64k-alignment)
an mit einer 8byte gruppe, a la "CE 1C 00 00 01 00 00 00" was wohl zwei
little-endian ints sind, und (0x1cce + 24) bytes später fangen wieder die
nullen an. Die erste int dürfte also eine längenangabe sein, die um 16
kleiner ist, als die nach der 8byte-sequenz folgenden "zufallsdaten"
bis zum nächsten 0er-block.
Ob das aber schon die Dateien sind, in die geschrieben wird, kann ich
noch nicht sicher sagen, weil wenn ich im gnome-terminal einfach am
(lokalen) shellprompt die Return-taste auto-repeaten lasse, dann rattert
es auch auf der platte, aber diese dateien ändern nicht ihr mod-datum.
Erst ein eingegebenes kommando (a la "ls -l") bringt neueren Zeitstempel
auf einer (oder mehreren) dieser Dateien.
(Eigentlich sollte ja bei open-source so ein reverse-engineering nicht
nötig sein ;-) Werd dann auch mal googeln, aber jetzt schick ich das hier
mal ab...