☰

¿Cómo puedo saber dónde se origina un mensaje del sistema ("probar el búfer" en dmesg/journalctl/messages)?

tag-icon • tag-icon systemd-journald journalctl
¿Cómo puedo saber dónde se origina un mensaje del sistema ("probar el búfer" en dmesg/journalctl/messages)?

En los últimos días he recibido un mensaje en el registro/diario del sistema más de mil veces en un segundo. ¿Cómo puedo saber dónde se originó?

# journalctl --system | grep "testing the buffer" | uniq --count
1522 Apr 06 13:49:31 laptop unknown: testing the buffer

Entonces, 1522 veces el mismo mensaje de "desconocido". ¿Es esto posiblemente malicioso?

# find / -xdev -type f -print0 | xargs -0 grep "testing the buffer" | grep -v /var/log/journal
Exit 1

¡Ningún archivo del sistema contiene esa cadena!

El sistema utiliza systemd-journaldpara los registros del sistema.

Respuesta1

Parece estar relacionado con el último kernel (5.6.x).

Si sigues el diario con un nivel detallado

sudo journalctl -f -o verbose

Puedes ver _TRANSPORT=kernel

Sun 2020-04-12 09:32:38.852081 CEST [s=ca0e47a50a2047e483013075418f4a72;i=1d58f89;b=343f4563d34649baad6f57aacc0320a1;m=e9cad4480;t=5a312f895b1f1;x=16d4d0c3d713857c]
    _MACHINE_ID=*******
    _HOSTNAME=*******
    _TRANSPORT=kernel
    PRIORITY=4
    SYSLOG_FACILITY=1
    MESSAGE=testing the buffer
    _BOOT_ID=343f4563d34649baad6f57aacc0320a1
    _SOURCE_MONOTONIC_TIMESTAMP=62758810437

De hecho, hay un error listado para OpenSUSEhttps://bugzilla.opensuse.org/show_bug.cgi?id=1168664(pero relacionado con el kernel, estoy en Ubuntu) arreglado como sobrante de minot enhttps://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=41c55ea6c2a7ca4c663eeec05bdf54f4e2419699

Afortunadamente, no hay de qué preocuparse, desaparecerá cuando fusionen la solución en el kernel empaquetado...

Respuesta2

  1. La cadena "probar el búfer" se encuentra dentro del archivo del kernel 5.6.5./net/bpfilter/main.c
  2. Espero que este inofensivo mensaje DEBUG desaparezca en futuras versiones del kernel.
  3. Encontré la fuente de este mensaje de la siguiente manera:
    1. En un shell bash ingresando a la raíz del árbol fuente del kernel 5.6.5
    2. Ejecutando:
      para yo enfind . -name "*.c"
hacer
eco $i
grep "probando el buffer" $i
hecho > pq.log
    3. Dentro del archivo pq.log ubicando la cadena por apertura e inspeccionando el archivo con
      vi pq.log

información relacionada