אינדקס הפורומים של Whatsup - לינוקס, תוכנה חופשית וקוד פתוח בעברית » ניהול מערכת » אבטחת מידע

עזרה על הדיווח של CHKROOTKIT על LKM

אורח‏ · ·

פורסם: 08/06/2004 - 14:55
נושא ההודעה: עזרה על הדיווח של CHKROOTKIT על LKM

שלום הרצתי chkrootkit בדביאן בבית וקיבלתי בין השאר את זה

קוד:

Checking `lkm'... You have 4 process hidden for readdir command
You have 4 process hidden for ps command
Warning: Possible LKM Trojan installe

יכול להיות שזה בגלל patch שהכנסתי ל קרנל 2.6.6 כדי שיתמוך ב מודם ECI או שזה לא קשור
וגם האם יש דרך לבדוק מה אותם 4 הישומים הנסתרים האלה שהוא דיווח

תודה

חזרה לתוכן הדיון

אורח‏ · ·

פורסם: 08/06/2004 - 17:11
נושא ההודעה:

קצת מקפיץ...

חזרה לתוכן הדיון

mksoft

‏ Site Admin ת.הצטרפות: 17/03/2002 · הודעות: 10514 · מיקום: כדור הארץ

פורסם: 09/06/2004 - 00:52
נושא ההודעה:

זה לא קשור ל-patch, אלא לדרך שהקרנל מסדרה 2.6 מדווח על תהליכים. chkrootkit לא עודכן לכך.

תבדוק עם:

קוד:

chkproc -v

תקבל את ה-pid שלהם ותבדוק מה התהליכים האלו.

היה דיון אודות כך לא מזמן ב-linux-il:
http://mirror.hamakor.org.il/archives/linux-il/06-2004/10241.html

עוד באותו נושא:
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=222179

$שלח דוא\$

חזרה לתוכן הדיון

אורח‏ · ·

פורסם: 09/06/2004 - 14:14
נושא ההודעה:

קוד:

root@ido-computer:/usr/lib/chkrootkit# ./chkproc -v
PID 2530: not in readdir output
PID 2530: not in ps output
PID 4845: not in readdir output
PID 4845: not in ps output
PID 4849: not in readdir output
PID 4849: not in ps output
PID 5049: not in readdir output
PID 5049: not in ps output
You have 4 process hidden for readdir command
You have 4 process hidden for ps command
root@ido-computer:/usr/lib/chkrootkit# ps -MA |grep 2530
root@ido-computer:/usr/lib/chkrootkit# ps -MA |grep 4845
root@ido-computer:/usr/lib/chkrootkit# ps -MA |grep 4849
root@ido-computer:/usr/lib/chkrootkit# ps -MA |grep 5049

עשיתי את זה ולא היה לזה שום פלט האם זה אומר שיש לי LKM ?

חזרה לתוכן הדיון

mksoft

‏ Site Admin ת.הצטרפות: 17/03/2002 · הודעות: 10514 · מיקום: כדור הארץ

פורסם: 09/06/2004 - 14:25
נושא ההודעה:

קוד:

find /proc -name 2530

תראה שהוא נמצא תחת תיקיה של תהליך אחר. תציץ בתיקיה של התהליך ותראה מה הפעיל אותו.

$שלח דוא\$

חזרה לתוכן הדיון

אורח‏ · ·

פורסם: 09/06/2004 - 14:42
נושא ההודעה:

תודה על העזרה מתברר בסוף שזה כן קשור ל ECI זה היה /usr/bin/pppoeci

חזרה לתוכן הדיון

Armageddon

‏ ת.הצטרפות: 18/07/2004 · הודעות: 8 ·

פורסם: 21/07/2004 - 01:58
נושא ההודעה:

לאחר הרצה של chkrookit קיבלתי הודעה דומה בהחלט ולאחר הרצה של הבדיקות שהוצעו כאן קיבלתי את התוצאה הנ"ל:

קוד:

[root@localhost chkrootkit-0.43]# ./chkproc -v
PID 1890: not in readdir output
PID 1890: not in ps output
PID 1891: not in readdir output
PID 1891: not in ps output
PID 1892: not in readdir output
PID 1892: not in ps output
PID 2184: not in readdir output
PID 2184: not in ps output
You have 4 process hidden for readdir command
You have 4 process hidden for ps command
[root@localhost chkrootkit-0.43]# find /proc -name 1890
/proc/1889/task/1890
find: /proc/27489/task: No such file or directory
[root@localhost chkrootkit-0.43]# find /proc -name 1891
/proc/1889/task/1891
find: /proc/27489/task: No such file or directory
[root@localhost chkrootkit-0.43]# find /proc -name 1892
/proc/1889/task/1892
find: /proc/27489/task: No such file or directory
[root@localhost chkrootkit-0.43]# find /proc -name 2184
/proc/2183/task/2184
find: /proc/27489/task: No such file or directory

לא כל כך הבנתי את פירוש התוצאה וכן אשמח לקבל מעט עזרה, האם ישנה בעיה?

עריכה: לאחר אתחול המחשב ובדיקה מחודשת של התהליכים החבויים הקוד של כל התהליכים השתנה והפלט כעת הוא:

קוד:

[root@localhost chkrootkit-0.43]# ./chkproc -v
PID 2261: not in readdir output
PID 2261: not in ps output
PID 2262: not in readdir output
PID 2262: not in ps output
PID 2263: not in readdir output
PID 2263: not in ps output
PID 2555: not in readdir output
PID 2555: not in ps output
You have 4 process hidden for readdir command
You have 4 process hidden for ps command