Re: Re : Re : Re : Sécurité (suite) é tait Re:HS [Intrusion, reconstitution] était Re:Quel kernel ?
On Sun, 28 Dec 2003 19:03:16 +0100
"Jean-Luc Coulon (f5ibh)" <jean-luc.coulon@wanadoo.fr> wrote:
> Le 28.12.2003 18:53, François Boisson a écrit :
> |
> |> En effet celui-là va mieux ... mais je pense que chkrootkit
> |(chkproc)
> |> effectue les mêmes vérifications.
> |
> |Ben non, j'ai fait le test et envoyer le tout au développeur de
> |chkrootkit. Il indique des processus cachés mais pas lesquels et n'a
> |pas
> |détecté SuckIT chez moi (cf fil précédent)
> |
> Pour SuckIT, je ne sais pas, je ne l'ai pas encore (?).
> Pour savoir les processus cachés, s'il les signale pour lkm, il
> suffit de faire chkrootkit -x lkm et on obtient ainsi les infos sur
> les processus en question. Il ne reste plus qu'à vérifier dans /proc
> si ce sont des processus «inocents» ou pas.
>
Oui, surement, le seul problème est que quand ça m'est arrivé, j'ai été
dérouté et que chkrootkit m'a plutôt induit en erreur. chkrootkit se veut
un outil universel, le fait qu'il donne dans deux cas des réponses
erronées m'ammène à ne plus lui faire entièrement confiance. Mon script
est peut être limité mais le principe est simple et, je crois, efficace.
En tout cas, il m'aurait rendu grand service en situation comme me l'ont
prouvé mes tests sur une machine infectée.
François Boisson
Reply to: