Início / server / Perguntas / 697865
Accepted
Steffen
Asked: 2015-06-11 00:07:44 +0800 CST

rkhunter: "Segmentos de memória compartilhada suspeitos"

  • 772

Tenho aqui um novo servidor instalado com CentOS7 e uma instalação do GroupOffice nele. Depois de instalar o rkhunter e iniciar uma verificação do rkhunter, recebo:

[09:58:15] Suspicious Shared Memory segments
[09:58:15]   Process:     PID: 1769    Owner: apache         [ Found ]
[09:58:15]   Suspicious Shared Memory segments               [ Warning ]

Alguém sabe o que significa "segmentos de memória compartilhada suspeitos"? Como posso verificar se isso é um falso positivo? E em caso afirmativo: como posso listar esse erro na lista branca?

EDITAR

Se eu tentar listar o processo com o comando ps o processo com o PID 1769 não está lá:

# ps -p 1769
  PID TTY          TIME CMD
# ps aux | grep 1769
root     12777  0.0  0.0 112660   960 pts/0    S+   10:25   0:00 grep --color=auto 1769
# ps aux | grep apache
apache   12606  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12607  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12608  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12609  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12610  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
root     12779  0.0  0.0 112660   960 pts/0    S+   10:26   0:00 grep --color=auto apache
linux

3 respostas

  1. Best Answer

    Do changelog para v 1.4.4 :

    Adicionada a opção de arquivo de configuração ALLOWIPCPROC. Isso pode ser usado para listar processos suspeitos usando segmentos de memória compartilhada (encontrados durante a verificação 'ipc_shared_mem').

    Então, para colocar na lista de permissões, use o seguinte

    ALLOWIPCPROC=path/to/service

    por exemplo

    ALLOWIPCPROC=/usr/sbin/httpd
    • 18

  2. O conceito de Segmentos de Memória Compartilhada é explicado em: http://www.csl.mtu.edu/cs4411.ck/www/NOTES/process/shm/what-is-shm.html . Como o nome sugere, um segmento de memória compartilhada é um segmento de memória que pode ser compartilhado por vários processos. O processo do servidor web Apache, que é o arquivo: /usr/sbin/httpd usa memória compartilhada. Ele usa memória compartilhada para compartilhar dados entre os trabalhadores do servidor Apache. Isso é explicado em: Cache de objeto compartilhado no servidor Apache HTTP

    O acesso à memória compartilhada é um risco de segurança porque permite que um processo leia e potencialmente modifique a memória usada por outro processo. Somente processos confiáveis ​​devem ter permissão para acessar a memória compartilhada. A verificação de segurança do Rkhunter é um pouco rígida, pois considera o processo confiável /usr/sbin/httpd suspeito.

    Este aviso pode ser ignorado com segurança conforme sugerido no fórum Plesk: https://support.plesk.com/hc/en-us/articles/115001160954-What-Watchdog-warnings-can-be-safely-ignored-on-a -Plesk-servidor .

    Para ignorar o aviso, o caminho para o processo que está acessando o Segmento de Memória Compartilhada, deve ser adicionado à opção ALLOWIPCPROC no arquivo de configuração rkhunter.conf. O caminho para o processo neste caso é: /usr/sbin/httpd .

    O arquivo rkhunter.conf contém a seguinte documentação sobre a opção ALLOWIPCPROC :

    Permita que os nomes de caminho do processo especificado usem segmentos de memória compartilhada. Esta opção pode ser especificada mais de uma vez e pode usar caracteres curinga. O valor padrão é a string nula.

    • 8

  3. Depois de parar o httpd, o aviso desaparece (como esperado). Após iniciar o httpd o warning volta a aparecer (com o mesmo PID!). Eu tentei isso várias vezes (todos os casos com o mesmo resultado).

    Mas : Depois de reiniciar o servidor, o aviso desaparece. Eu brinquei com o servidor (faça login no GroupOffice, reinicie o httpd e assim por diante) e parece que o aviso desapareceu persistentemente (espero). No entanto, observarei isso nos próximos dias ...

    Não tenho ideia do que significa o aviso "Segmentos de memória compartilhada suspeitos" e como posso descobrir se isso é um falso positivo ou não. Então também não vou marcar esta pergunta/resposta como "respondida"...

    Obrigado e cumprimentos, Steffen

    • 0

relate perguntas