usr bin lwp request warning что это
Usr bin lwp request warning что это
Посмотрел, спасибо,вот информация:
Warning: The file properties have changed: File: /usr/bin/wget файл изменен, это ясно, но насколько это опасно для системы?
Warning: The file properties have changed: File: /sbin/ip тоже самое
Warning: The file properties have changed: File: /bin/ip тоже самое
Возможно ли, что после обновления файлы просто изменились и теперь программа ругается?
И что это за подозрительные типы файлов?:
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Rkhunter на что-то намекает.
Антивирус всё ещё не нужен?
[ Rootkit Hunter version 1.4.6 ]
Checking system commands.
Performing ‘strings’ command checks
Checking ‘strings’ command [ OK ]
Performing ‘shared libraries’ checks
Checking for preloading variables [ None found ]
Checking for preloaded libraries [ None found ]
Checking LD_LIBRARY_PATH variable [ Not found ]
Performing filesystem checks
Checking /dev for suspicious file types [ None found ]
Checking for hidden files and directories [ Warning ]
Performing malware checks
Checking running processes for suspicious files [ None found ]
Checking for login backdoors [ None found ]
Checking for sniffer log files [ None found ]
Checking for suspicious directories [ None found ]
Checking for suspicious (large) shared memory segments [ Warning ]
Performing file properties checks
Checking for prerequisites [ OK ]
/usr/sbin/adduser [ OK ]
/usr/bin/lwp-request [ Warning ]
File properties checks.
Files checked: 145
Suspect files: 1
Rootkit checks.
Rootkits checked : 480
Possible rootkits: 6
Applications checks.
All checks skipped
The system checks took: 1 minute and 23 seconds
All results have been written to the log file: /var/log/rkhunter.log
One or more warnings have been found while checking the system.
Please check the log file (/var/log/rkhunter.log)
Проверка Linux на вирусы
Раньше мы уже говорили о вирусах в Linux. Большинство людей считают, что вирусов в Linux нет и кое в чем они правы. Ведь вредоносных программ, которые сами могли бы распространятся по системе и заряжать другие компьютеры в сети минимум. Известные широкой общественности программы такого рода для Linux можно сосчитать на пальцах. Но есть и другой тип угроз, более характерный для Linux. Это руткиты, программы которые устанавливаются вручную и скрывают свою деятельность в системе.
Проверка Linux на вирусы
Чтобы понять не подключался ли кто к вашему компьютеру, вы можете посмотреть содержимое файла /var/log/audit.log или /var/log/secure.
Здесь фиксируются все события в системе, в том числе неудачные попытки входа по ssh. Я был удивлен когда увидел что мой пароль пытались подобрать. Также можно посмотреть логи сервиса sshd с помощью journalctl:
sudo journalctl _SYSTEMD_UNIT=sshd.service
Для поиска руткитов мы будем использовать утилиту rkhunter или RootkitHunter, а также chkrootkit. Мы рассмотрим как ее установить и настроить для правильной проверки. Вообще, я больше склоняюсь к первой, она новее и имеет больше функций.
Поиск вирусов с помощью RkHunter
Установить программу в Ubuntu можно командой:
sudo apt install rkhunter
В CentOS надо выполнить такую команду:
sudo yum install rkhunter
Если у вас другой дистрибутив, вы всегда скачать установочный скрипт на SourceForge:
Перед тем как будет выполнена проверка linux на вирусы, необходимо обновить базу данных утилиты. Для этого выполните:
Теперь необходимо собрать информацию о файлах в системе, это нужно, чтобы программа могла понять пытался ли кто модифицировать системные файлы при следующей проверке. Для этого выполните:
Обновление желательно выполнять регулярно, поэтому давайте создадим специальный скрипт и будем запускать его с помощью cron каждый день. Для этого создайте файл скрипта в папке /etc/cron.daily:
Здесь мы выполняем проверку версии, обновление баз данных и в последней строчке мы запланировали проверку и отправку уведомления вам на Email. Для работы необходимо заменить your@email.com на ваш адрес электронной почты.
Теперь осталось только дать программе права на выполнение:
chmod 755 /etc/cron.daily/rkhunter.sh
С установкой программы разобрались. Сначала давайте рассмотрим основные опции программы которые мы уже использовали, или которые вам могут пригодится:
Например, чтобы посмотреть все руткиты, которые может найти программа выполните:
Для того чтобы проверить Linux на вирусы всю систему выполните от суперпользователя:
Программа кроме вывода информации на экран, создаст лог проверки. На информацию выводимую во время проверки не обращайте большого внимания, она немного урезана все станет более понятнее при просмотре лога.
К сожалению программа работает только на английском, поэтому, чтобы понять в каком состоянии ваша система вам придется немного понимать английский.
Чтобы вам было более понятно что делает программа и как анализировать ее результаты, давайте рассмотрим лог сканирования.
Сначала программа инициализируется и загружает конфигурационные файлы, здесь нет ничего интересного. Заметьте, что мы рассматриваем лог проверки системы, логи обновления и создания базы данных, они находятся выше в этом же файле, нас не интересуют. Проверка системы начинается с этих срок:
Программа сканирует системные утилиты и пытается выявить там подозрительные признаки, в том числе проводится сравнение хеша утилиты с хешем сохраненным в базе данных, чтобы понять не была ли она изменена. Обычно если с утилитами все хорошо лог заполнен такими строками:
Также выполняется проверка параметров файлов, например если файл должен быть бинарным, а он скрипт, то это не порядок:
При обнаружении подозрительного файла программа тут же объясняет в чем с ним проблема. Возможно это ложное срабатывание, однако эти файлы вам стоит проверить или можно переустановить пакеты, которым они пренадлежат.
Дальше будет выполнена проверка Linux на вирусы с поиском известных руткитов:
Обычно, если в этом разделе что-то обнаружено, то это значит, что в системе есть руткит и с этим нужно что-то делать, но обычно мы видим строки Not found (не найдено):
Дальше будет запущен поиск нежелательного программного обеспечения:
Проверка опасных портов:
На этапе проверки конфигурационных файлов мы тоже получаем предупреждение:
Но здесь видно, что проблема не в вирусе, а в том, что программе просто нет с чем сравнивать.
Дальше выполняется проверка настроек системы, и здесь тоже программе не все нравится:
Дальше будет выполнено сканирование файловой системы:
И обнаружено несколько скрытых файлов, но все они, похоже, хорошие. Вы можете отследить какая программа работает с определенным файлом с помощью команды lsof:
sudo lsof | grep /адрес/файла
Осталась проверка приложений:
[12:16:25] Info: Starting test name ‘apps’
[12:16:25] Checking application versions..
И небольшой отчет о найденных проблемах:
Для удобства просмотра лога вы можете не смотреть его полностью, а выбрать только предупреждения:
Параметр A5 означает показывать еще пять строк после строки с обнаруженным вхождением, так мы точно ничего не пропустим.
Теперь давайте рассмотрим еще одну программу с помощью которой может быть выполнена проверка Linux на руткиты. Это chkrootkit. Она мнение функциональна, но тоже хорошо делает свое дело.
Поиск вирусов с помощью Chkrootkit
Программа состоит из нескольких отдельных утилит:
Установить программу в Ubuntu можно с помощью команды:
sudo apt install chkrootkit
Если у вас другой дистрибутив, то вы можете собрать программу из исходников:
В CentOS вам понадобится установить такие библиотеки перед сборкой:
yum install gcc-c++ glibc-static
Команды выполняются без параметров. Достаточно запустить нужную утилиту чтобы найти руткиты linux:
Лог программы немного похож на предыдущую, поэтому мы не будем его отдельно разбирать. Здесь сначала выполняется проверка системных команд, более ограниченная чем в rkhunter, затем поиск руткитов linux.
Аналогично вы можете выполнить другую утилиту, чтобы проверить на модификацию lastlog:
Но, возможно придется создать символическую ссылку на lastlog, чтобы программа смогла его найти.
Выводы
Вот и все. Выполняйте регулярное сканирование Linux, чтобы вовремя выявить все угрозы, особенно это актуально для серверов, которые чаще всего могут подвергаться хакерским атакам. Возможно, руткитов вы не найдете, но зато программы вам сообщат о потенциальных проблемах с безопасностью, которые желательно исправить.
Rootkitы в ubuntu mate
Просканировал систему (rkhunter) и обнаружил вирус(rootkit),вот хочу узнать можно удалить или придется переустанавливать систему, и если можно то как?
Сначала погугли по хэшу. Возможно это ложная тревога.
У rkhunter достаточно много ложных срабатываний. Так что сперва мозг включи. Хотя да если ставил ненужное непонятно с левых ресусов или сборочки васянов то ну ты понил да?
У rkhunter достаточно много ложных срабатываний.
У светофора на дороге много ложных срабатываний.
Ты будешь смеяться но да. Если светофор и остальное оборудование на железке плохо обслуживать, то оно будет врать. Обычно делают чтобы красный загорался в случае неисправностей, т.к. от зеленого проблем больше. А ломается по многим причинам. От отвалившегося провода до подгорания контактов на реле (да, на РЖД и в Метро не осилили транзисторы, только в качестве экспериментов разве что).
можно игнорировать, наверное (если нет других симптомов).
Как и красный сигнал светофора. Ежели вы так хотите, кто же вам запретит-то.
просканировал от нечего делать и о ужас
Хотел тоже посканировать на поржать, так он на NixOS даже не опакечен. И на что я рассчитывал.
Debian User Forums
Checking integrity of system files
Checking integrity of system files
#1 Post by pcalvert » 2007-10-26 19:56
[14:16:48] Warning: The command ‘/bin/egrep’ has been replaced by a script: /bin/egrep: Bourne shell script text executable
[14:16:48] /bin/fgrep [ Warning ]
[14:16:49] Warning: The command ‘/bin/fgrep’ has been replaced by a script: /bin/fgrep: Bourne shell script text executable
[14:17:03] /usr/bin/groups [ Warning ]
[14:17:03] Warning: The command ‘/usr/bin/groups’ has been replaced by a script: /usr/bin/groups: Bourne shell script text executable
[14:17:05] /usr/bin/ldd [ Warning ]
[14:17:06] Warning: The command ‘/usr/bin/ldd’ has been replaced by a script: /usr/bin/ldd: Bourne-Again shell script text executable
[14:17:21] /usr/bin/which [ Warning ]
[14:17:21] Warning: The command ‘/usr/bin/which’ has been replaced by a script: /usr/bin/which: Bourne shell script text executable
[14:17:23] /usr/bin/lwp-request [ Warning ]
[14:17:23] Warning: The command ‘/usr/bin/lwp-request’ has been replaced by a script: /usr/bin/lwp-request: perl script text executable
[14:17:31] /usr/sbin/adduser [ Warning ]
[14:17:32] Warning: The command ‘/usr/sbin/adduser’ has been replaced by a script: /usr/sbin/adduser: perl script text executable
[14:39:45] Checking version of GnuPG [ Warning ]
[14:39:45] Warning: Application ‘gpg’, version ‘1.4.1’, is out of date, and possibly a security risk.
[14:39:46] Checking version of OpenSSL [ Warning ]
[14:39:46] Warning: Application ‘openssl’, version ‘0.9.7e’, is out of date, and possibly a security risk.
If I had a list of the correct MD5 sum values for the above files, I could compare them with the MD5 sum values for my files. That way, I could know for sure whether this is a false alarm.
ISPconfig не могу обезопаситься.
Помогите пожалуйста разобраться в логах. Логи пишет, точнее читает ISPconfig. Решил её допилить (панельку). Хочу сделать сервер своими руками. Беспокоит несколько вопросов. Ребят больше никто внятно ответить не может. В том числе интернет. Растолкуйте плиз. Спасибо.
Воспользуйтесь [code]. [/code].
Спасибо, поправил на [код][/код]
Покажите /var/log/rkhunter.log (если там больше, чем 2 экрана текста, загрузите на http://paste.org.ru/)
С хостнеймом всё понятно: нет обратной зоны для этого айпишника. А кто генерирует ворнинги на пароли хз. Я бы предположил что PAM, но лучше посмотреть как у тебя авторизация настроена.
Ну а RKHunter: какие по нему вопросы?
С хостнеймом всё понятно: нет обратной зоны для этого айпишника.
Уважаемый, поясните, как добавить обратную зону?
Скажите как посмотреть можно? Я сервер настраивал по руководству Perfect Server. Вот пытаюсь до ума довести. Заранее спасибо.
написать об этом хостеру
Так, я туплю, это не pam. Там, случайно, не идёт забор почты, скажем, с mail.ru (или другого хостера)? Короче, надо там поменять пароль.
Да с этим я разобрался. Теперь осталось только решить с обратной зоной. И руткит-хантер.
какому именно хостеру надо написать? у которого днс-хостинг моих джоменов?
Нет, который выдаёт IP.
Спасибо. понял, договорился. Сделают. Вопрос по рутхантер остается открытым.
ОК, перевожу все предупреждающие сообщения с английского и даю комментарии.
[23:01:18] /usr/bin/GET [ Warning ]
[23:01:18] Warning: The file ‘/usr/bin/GET’ exists on the system, but it is not present in the rkhunter.dat file.
Файл /usr/bin/GET есть в системе, но rkhunter о нём ничего не знает. Загляните внутрь при помощи less и убедитесь, что это часть пакета LWP (библиотека для работы с WWW из Perl).
[23:01:40] /usr/bin/lwp-request [ Warning ]
[23:01:40] Warning: The file ‘/usr/bin/lwp-request’ exists on the system, but it is not present in the rkhunter.dat file.
[23:01:53] /usr/sbin/inetd [ Warning ]
[23:01:53] Warning: The file ‘/usr/sbin/inetd’ exists on the system, but it is not present in the rkhunter.dat file.
[23:04:48] Checking for passwd file changes [ Warning ]
[23:04:48] Warning: User ‘logon’ has been added to the passwd file.
Был добавлен пользователь logon. Это же Вы его создали, верно?
[23:04:48] Info: Starting test name ‘group_changes’
[23:04:48] Checking for group file changes [ Warning ]
[23:04:49] Warning: Changes found in the group file for group ‘sudo’:
[23:04:49] User ‘logon’ has been added to the group
Пользователь logon был добавлен в группу sudo и теперь может получать права root. Аналогично см. выше.
[23:04:49] Checking if SSH root access is allowed [ Warning ]
[23:04:50] Warning: The SSH and rkhunter configuration options should be the same:
[23:04:50] SSH configuration option ‘PermitRootLogin’: yes
[23:04:50] Rkhunter configuration option ‘ALLOW_SSH_ROOT_USER’: no
Либо запретите вход root’ом по ssh, либо скажите rkhunter, что это нормально.
[23:04:51] Checking for hidden files and directories [ Warning ]
[23:04:52] Warning: Hidden directory found: /dev/.udev
[23:04:52] Warning: Hidden directory found: /dev/.initramfs
/dev/.udev когда-то была необходима для работы udev. Загляните внутрь и убедитесь.
[23:04:53] Info: End date is Чтв Дек 15 23:04:53 ALMT 2011
После этой строчки я не читал, но будет наверняка всё то же самое. Вы же теперь сможете прочитать этот файл самостоятельно?