Re: chkrootkit et portsentry
> Bonjour,
Hello
> En examinant un rapport de "chkrootkit" ce matin, je m'aperçois que
> j'ai une
> alerte sur trois ports signalés comme "INFECTED".
> Je regarde alors à quoi correspondent ces ports et là je vois que ce
> sont des
> ports utilisés par "portsentry".
>
> Voici la ligne d'alerte que j'ai dans mes mails :
> INFECTED (PORTS: 1524 6667 31337)
>
> Je ne comprends pas trop car j'ai rarement regarder de manière
> approfondie ces
> logs, mais cela viens bien de "portsentry" (j'ai fais le test deux
> fois pour
> être certain).
>
C'est le cas effectivement
> Y aurait-il un bug ou un configuratin spéciale de chkrootkit pour
> éviter cette
> réaction ?
Non c'est une réaction normal de chkrootkit
Pour être sur que le service est sain vérifie les process avec PS en corrélation avec un netstat -anp
Et pour finir un scan nmap sur la lo (listenning des ports de porsentry)
> En plus chkrootkit renvoie des alertes sur les fichiers suivants :
> /usr/lib/xulrunner/.autoreg /usr/lib/jvm/.java-6-sun.jinfo
> /usr/lib/jvm/java-6-sun-1.6.0.12/.systemPrefs
> /usr/lib/xulrunner-1.9/.autoreg
> /lib/init/rw/.mdadm /lib/init/rw/.ramfs /lib/init/rw/.mdadm
>
> chkrootkit ou est-ce normal ?
>
Oui cela sont normaux ce sont des fichiers vides
Reply to: