chkrootkitのチェック結果について

chkrootkitのチェック結果について

æ¥æï¼ 2007/10/24 13:43
ååï¼ ムック

はじめまして。 fedora core6を運用しております。昨日、ルータのログをチェックしていたところ、私のfedoraのより外部の大量なIPアドレスに対して無作為にtcpの10000番でアタックをかけているログがありました。私には全く身の覚えがありません。即座にルータにてフィルターをかけ、外部に影響をもたらさないようにし、まずclan antivirusにてスキャンしましたが、とくにウイルスやワームに感染はしておりませんでした。そこで、chkrootkitにて調べたところ、 Checking `netstat'... INFECTED the name `ty,pid,ruser,args' is not a tty という結果が表示されました。これはnetstatコマンドが改ざんされているということでしょうか？また、この状況を改善するにはどうしたらよいでしょうか？なお、動作させているアプリケーションは以下のものになります。（念のため、現在は全て停止させました）・apache ・postfix ・Mysql ・xoops ・webmin お手数おかけしますが、どなたかご回答いただければと思います。

Page: [1]

■ コンテンツ関連情報

Re: chkrootkitのチェック結果について ( No.1 )

æ¥æï¼ 2007/10/24 14:50
ååï¼ 管理者

改ざんされているかどうかは分かりませんが、当方の検証環境では「INFECTED」になりませんでした。(i386・x86_64のいづれも・・) 以下に、現在リリースされているバージョンでの戻し方を記述します。 (RPMパッケージは「net-tools」です。yumにてアンインストールしようとすると、依存関係で多々のパッケージもアンインストールされてしまうので、該当コマンドだけリストアします。) ① ワーク用ディレクトリ作成とカレントの移動 # mkdir /tmp/work # cd /tmp/work ② 「net-tools」パッケージの取得「i386」の場合は以下 # wget http://ftp.riken.jp/Linux/fedora/core/6/i386/os/Fedora/RPMS/net-tools-1.60-73.i386.rpm 「x86_64」の場合は以下 # wget http://ftp.riken.jp/Linux/fedora/core/6/x86_64/os/Fedora/RPMS/net-tools-1.60-73.x86_64.rpm ※：該当するPCによって違うので「http://ftp.riken.jp/Linux/fedora/core/6/」以下からご参照下さい。 ③ RPMより抽出(以下の例は「x86_64」版のRPMですので、ファイル名を置き換えて下さい。) # rpm2cpio net-tools-1.60-73.x86_64.rpm | cpio -id ④ 「netstat」コマンドのバックアップ(一様、バックアップしておきます) # cp -p /bin/netstat /bin/netstat.bak ⑤ 抽出した「netstat」を上書きコピー # cp -p /tmp/work/bin/netstat /bin/ ⑥ ワーク用ディレクトリの削除 # cd # rm -rf /tmp/work ここまで出来たら、再度チェックしてみてください。

Re: chkrootkitのチェック結果について ( No.2 )

æ¥æï¼ 2007/10/24 15:05
ååï¼ ムック

管理者さんどうもありがとうございます。上記作業を行ったところ、netstatはINFECTEDと表示されなくなりました。しかし、 # chkrootkit | grep INFECTED を行ったところ、相変わらず、 the name `ty,pid,ruser,args' is not a tty というメッセージが表示されるのですが、これは問題ないのでしょうか？

Re: chkrootkitのチェック結果について ( No.3 )

æ¥æï¼ 2007/10/24 15:36
ååï¼ 管理者

> the name `ty,pid,ruser,args' is not a tty > > というメッセージが表示されるのですが、これは問題ないのでしょうか？勉強不足の為、当方では判断できないです・・・検索してもそれらしい情報はありませんね・・ソースをちょっと見てみたのですが「chkutmp.c」にこの記述があります。「ps ax -o "tty,pid,ruser,args"」を実行した時の情報を取得している様なのですが、このコマンド自体実行できますか？以下例) # ps ax -o "tty,pid,ruser,args" ちなみに以下は当方の出力例 TT PID RUSER COMMAND ? 1 root init [3] ? 2 root [ksoftirqd/0] ? 3 root [events/0] ? 4 root [khelper] ? 5 root [kacpid] ? 18 root [kblockd/0] ? 19 root [khubd] ? 36 root [pdflush] ? 37 root [pdflush] ? 38 root [kswapd0] ? 39 root [aio/0] ? 185 root [kseriod] ? 425 root [kjournald] ? 1603 root [ata/0] ? 1604 root [ata_aux] ? 1614 root udevd ? 1900 root [kauditd] ? 1945 root [kjournald] ? 2605 root syslogd -m 0 ? 2609 root klogd -x ? 2620 nscd /usr/sbin/nscd ? 2635 root cupsd ? 2706 root /usr/sbin/sshd ? 2718 root xinetd -stayalive -pidfile /var/run/xinetd.pid tty1 2841 root /sbin/mingetty tty1 tty2 2873 root /sbin/mingetty tty2 tty3 2874 root /sbin/mingetty tty3 tty4 2875 root /sbin/mingetty tty4 tty5 2876 root /sbin/mingetty tty5 tty6 2877 root /sbin/mingetty tty6 ? 3454 root sshd: root@pts/0 pts/0 3458 root -bash ? 4107 named /usr/sbin/named -u named -t /var/named/chroot pts/0 6260 root ps ax -o tty,pid,ruser,args 後は、サーバを再起動して見ては如何でしょうか？

Re: chkrootkitのチェック結果について ( No.4 )

æ¥æï¼ 2007/10/24 16:05
ååï¼ ムック

お手数おかけします。 ps ax -o "tty,pid,ruser,args" を行ったところ、 the name `ty,pid,ruser,args' is not a tty と表示されました。この症状は再起動してもかわりませんでした。

Page: [1]

é¡å
名前	("初心者"を含む名前は使用できません)
E-Mail
URL
パスワード	記事メンテ時に使用）
投稿キー	（投稿時を入力してください）
コメント
画像添付	（対応画像：JPEG/GIF/PNG [Max 500KB]）
	クッキー保存

■ その他

ページ先頭へ

Re: chkrootkitのチェック結果について ( No.1 )
æ¥æï¼ 2007/10/24 14:50 ååï¼ 管理者改ざんされているかどうかは分かりませんが、当方の検証環境では「INFECTED」になりませんでした。(i386・x86_64のいづれも・・) 以下に、現在リリースされているバージョンでの戻し方を記述します。 (RPMパッケージは「net-tools」です。yumにてアンインストールしようとすると、依存関係で多々のパッケージもアンインストールされてしまうので、該当コマンドだけリストアします。) ① ワーク用ディレクトリ作成とカレントの移動 # mkdir /tmp/work # cd /tmp/work ② 「net-tools」パッケージの取得「i386」の場合は以下 # wget http://ftp.riken.jp/Linux/fedora/core/6/i386/os/Fedora/RPMS/net-tools-1.60-73.i386.rpm 「x86_64」の場合は以下 # wget http://ftp.riken.jp/Linux/fedora/core/6/x86_64/os/Fedora/RPMS/net-tools-1.60-73.x86_64.rpm ※：該当するPCによって違うので「http://ftp.riken.jp/Linux/fedora/core/6/」以下からご参照下さい。 ③ RPMより抽出(以下の例は「x86_64」版のRPMですので、ファイル名を置き換えて下さい。) # rpm2cpio net-tools-1.60-73.x86_64.rpm \| cpio -id ④ 「netstat」コマンドのバックアップ(一様、バックアップしておきます) # cp -p /bin/netstat /bin/netstat.bak ⑤ 抽出した「netstat」を上書きコピー # cp -p /tmp/work/bin/netstat /bin/ ⑥ ワーク用ディレクトリの削除 # cd # rm -rf /tmp/work ここまで出来たら、再度チェックしてみてください。
Re: chkrootkitのチェック結果について ( No.2 )
æ¥æï¼ 2007/10/24 15:05 ååï¼ ムック管理者さんどうもありがとうございます。上記作業を行ったところ、netstatはINFECTEDと表示されなくなりました。しかし、 # chkrootkit \| grep INFECTED を行ったところ、相変わらず、 the name `ty,pid,ruser,args' is not a tty というメッセージが表示されるのですが、これは問題ないのでしょうか？
Re: chkrootkitのチェック結果について ( No.3 )
æ¥æï¼ 2007/10/24 15:36 ååï¼ 管理者 > the name `ty,pid,ruser,args' is not a tty > > というメッセージが表示されるのですが、これは問題ないのでしょうか？勉強不足の為、当方では判断できないです・・・検索してもそれらしい情報はありませんね・・ソースをちょっと見てみたのですが「chkutmp.c」にこの記述があります。「ps ax -o "tty,pid,ruser,args"」を実行した時の情報を取得している様なのですが、このコマンド自体実行できますか？以下例) # ps ax -o "tty,pid,ruser,args" ちなみに以下は当方の出力例 TT PID RUSER COMMAND ? 1 root init [3] ? 2 root [ksoftirqd/0] ? 3 root [events/0] ? 4 root [khelper] ? 5 root [kacpid] ? 18 root [kblockd/0] ? 19 root [khubd] ? 36 root [pdflush] ? 37 root [pdflush] ? 38 root [kswapd0] ? 39 root [aio/0] ? 185 root [kseriod] ? 425 root [kjournald] ? 1603 root [ata/0] ? 1604 root [ata_aux] ? 1614 root udevd ? 1900 root [kauditd] ? 1945 root [kjournald] ? 2605 root syslogd -m 0 ? 2609 root klogd -x ? 2620 nscd /usr/sbin/nscd ? 2635 root cupsd ? 2706 root /usr/sbin/sshd ? 2718 root xinetd -stayalive -pidfile /var/run/xinetd.pid tty1 2841 root /sbin/mingetty tty1 tty2 2873 root /sbin/mingetty tty2 tty3 2874 root /sbin/mingetty tty3 tty4 2875 root /sbin/mingetty tty4 tty5 2876 root /sbin/mingetty tty5 tty6 2877 root /sbin/mingetty tty6 ? 3454 root sshd: root@pts/0 pts/0 3458 root -bash ? 4107 named /usr/sbin/named -u named -t /var/named/chroot pts/0 6260 root ps ax -o tty,pid,ruser,args 後は、サーバを再起動して見ては如何でしょうか？
Re: chkrootkitのチェック結果について ( No.4 )
æ¥æï¼ 2007/10/24 16:05 ååï¼ ムックお手数おかけします。 ps ax -o "tty,pid,ruser,args" を行ったところ、 the name `ty,pid,ruser,args' is not a tty と表示されました。この症状は再起動してもかわりませんでした。