主页 / ubuntu / 问题 / 962260
Accepted
Asarluhi
Asked: 2017-10-06 07:58:42 +0800 CST

如何处理假定的 chkrootkit 误报

  • 772

我apt-install在新安装的 Ubuntu 服务器 16.04.3 中安装了 chkrootkit。
chkrootkit 首次运行后发现可疑文件和目录：

Searching for suspicious files and dirs, it may take a while... The following suspicious files and directories were found: 
/usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/noentry/.htaccess /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest_time/.htaccess /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest_time/.htpasswd /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest_anon/.htaccess /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest_anon/.htpasswd /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest_wrongrelm/.htaccess /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest_wrongrelm/.htpasswd /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest/.htaccess /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/digest/.htpasswd /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/authz_owner/.htaccess /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/authz_owner/.htpasswd /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/file/.htaccess /usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/file/.htpasswd /lib/modules/4.4.0-87-generic/vdso/.build-id /lib/modules/4.4.0-96-generic/vdso/.build-id
/lib/modules/4.4.0-87-generic/vdso/.build-id /lib/modules/4.4.0-96-generic/vdso/.build-id

我注意到三年前 stackexchange 的另一个用户发现了相同的误报并发布了Chkrootkit 发现了很多可疑文件和目录，以及 /sbin/init INFECTED。

在chkrootkit 官方网站的常见问题解答编号 8中声明他们不能将误报列入白名单，因为攻击者可能会使用它，因为他知道 chkrootkit 会忽略某些文件和目录。

您建议如何处理这一长长的文件和目录列表？如何检查它们是否为误报？如果它们是误报，有没有办法将这些文件与其原始内容进行比较（如使用 的包dpkg -V）？

chkrootkit

1 个回答

  1. Best Answer

    你可以用 debsums 验证你的包（有点）

    sudo apt install debsums

    然后

    sudo debsums

    默认情况下，它会跳过配置文件，以包含它们

    sudo debsums -a

    要仅显示错误，请使用 -s 标志

    sudo debsums -as

    有关详细信息和其他选项，请参阅 man debsums

    http://manpages.ubuntu.com/manpages/zesty/en/man1/debsums.1.html

    If  you  are  looking  for  an integrity checker that can run from safe
       media, do integrity checks on checksum  databases  and  can  be  easily
       configured  to  run periodically to warn the admin of changes see other
       tools such as: aide, integrit, samhain, or tripwire.

    这些工具（aide、integrit、samhain 或tripwire）应在全新安装/已知良好的系统上安装/初始化，并且最好从实时媒体运行，因为破解工具可以在破解系统上击败这些工具。

    • 4

相关问题