☰

rkhunter는 파일 속성의 변경 사항을 보고하지만 yum에 의해 업데이트되었는지는 알 수 없습니다.

tag-icon • tag-icon yum hacking update packages rkhunter
rkhunter는 파일 속성의 변경 사항을 보고하지만 yum에 의해 업데이트되었는지는 알 수 없습니다.

제가 지나치게 조심하고 있는 것일 수도 있지만 최근 rkhunter로부터 다음과 같은 경고를 받았습니다.

Warning: The file properties have changed:
        File: /bin/dmesg
        Current hash: e94b12f49e53695bf5161a445c00b3f97e37e9a8
        Stored hash : 4cc922b102987beea5ec3e10f283b08cfd942658
        Current file modification time: 1263983792 (20-Jan-2010 05:36:32)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)
Warning: The file properties have changed:
        File: /bin/kill
        Current hash: 12f2d4e21474ccdb989c9ee4d4102917e51d8d7b
        Stored hash : 8e14ca5dbdc158a833c2d861bf682e31aae24675
        Current file modification time: 1263983792 (20-Jan-2010 05:36:32)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)
Warning: The file properties have changed:
        File: /bin/logger
        Current hash: 08f2886e3ef1fa5adb34ed8b24477362206f85c6
        Stored hash : c2bf21ac162bc7de5f6c0b787c304707127e5d96
        Current file modification time: 1263983792 (20-Jan-2010 05:36:32)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)
Warning: The file properties have changed:
        File: /bin/login
        Current hash: d05eb12a1184d3babcf3380674293974b8a2dcce
        Stored hash : 4849447380595bbff3aacc1a1ac90e59f7289ca6
        Current file modification time: 1263983792 (20-Jan-2010 05:36:32)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)
Warning: The file properties have changed:
        File: /bin/more
        Current hash: e2bad443495de0c23be2f87f836f80eafa3ba330
        Stored hash : afb55b42873a210a5cec07baa106faa3829cae41
        Current file modification time: 1263983792 (20-Jan-2010 05:36:32)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)
Warning: The file properties have changed:
        File: /bin/mount
        Current hash: cfda891d89dc57c94327bd62845f8ef13c42ff54
        Stored hash : 32d8659bad80b43acc4e437510a88491c9c53294
        Current file modification time: 1263983789 (20-Jan-2010 05:36:29)
        Stored file modification time : 1252007547 (03-Sep-2009 15:52:27)
Warning: The file properties have changed:
        File: /usr/bin/kill
        Current hash: 12f2d4e21474ccdb989c9ee4d4102917e51d8d7b
        Stored hash : 8e14ca5dbdc158a833c2d861bf682e31aae24675
        Current file modification time: 1264059189 (21-Jan-2010 02:33:09)
        Stored file modification time : 1256283752 (23-Oct-2009 03:42:32)
Warning: The file properties have changed:
        File: /usr/bin/logger
        Current hash: 08f2886e3ef1fa5adb34ed8b24477362206f85c6
        Stored hash : c2bf21ac162bc7de5f6c0b787c304707127e5d96
        Current file modification time: 1264059189 (21-Jan-2010 02:33:09)
        Stored file modification time : 1256283752 (23-Oct-2009 03:42:32)
Warning: The file properties have changed:
        File: /usr/bin/whereis
        Current hash: 0d700404e6cfd49bc1ef39465a586706b3b9f008
        Stored hash : 1552446e1285fd3d361e0198149e0a946ee7f28b
        Current file modification time: 1263983792 (20-Jan-2010 05:36:32)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)
Warning: The file properties have changed:
        File: /sbin/nologin
        Current hash: 01b82549a312108b655cca21993d2b24a56f3c7e
        Stored hash : 61255119451e25eb27e6e9a4ca67219564896d4f
        Current file modification time: 1263983792 (20-Jan-2010 05:36:33)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)
Warning: The file properties have changed:
        File: /usr/sbin/vipw
        Current hash: da7bc573ef2c55f1f7e1a7ebb964dbf1187c2702
        Stored hash : dc50bdcb381833d6e8e12cc7af81b37a0b3c4c8e
        Current file modification time: 1263983792 (20-Jan-2010 05:36:32)
        Stored file modification time : 1252007551 (03-Sep-2009 15:52:31)

일반적으로 이러한 파일이 최근에 업데이트되었는지 확인하기 위해 yum 로그를 확인하지만 다음 내용은 표시되지 않습니다.

Jan 21 02:33:08 Updated: 30:bind-libs-9.3.6-4.P1.el5_4.2.x86_64
Jan 21 02:33:08 Updated: perl-Compress-Raw-Zlib-2.024-1.el5.rf.x86_64
Jan 21 02:33:08 Updated: perl-Compress-Raw-Bzip2-2.024-1.el5.rf.x86_64
Jan 21 02:33:09 Updated: 30:bind-9.3.6-4.P1.el5_4.2.x86_64
Jan 21 02:33:09 Updated: 1:cups-libs-1.3.7-11.el5_4.5.x86_64
Jan 21 02:33:11 Updated: util-linux-2.13-0.52.el5_4.1.x86_64
Jan 21 02:33:11 Updated: gzip-1.3.5-11.el5.centos.1.x86_64
Jan 21 02:33:11 Updated: perl-IO-Compress-2.024-1.el5.rf.noarch
Jan 21 02:33:16 Updated: 30:caching-nameserver-9.3.6-4.P1.el5_4.2.x86_64
Jan 21 02:33:18 Updated: kernel-headers-2.6.18-164.11.1.el5.x86_64
Jan 21 02:33:18 Updated: 1:cups-libs-1.3.7-11.el5_4.5.i386

로그 파일을 볼 때 뭔가 빠졌나요? 해당 패키지 중 하나가 해당 패키지 전체를 업데이트합니까? 아마도 util-linux일까요?

rkhunter --propupd를 실행하면 검색하는 기본 파일 정보가 재설정된다는 것을 알고 있지만 먼저 이러한 결과에 대해 걱정하지 않아도 되는지 확인하고 싶습니다. 변경된 패키지는 해킹 시도에 활용될 수 있는 것으로 보입니다.

마지막으로 실행하면 의심스러운 로그인이 표시되지 않습니다.

답변1

방금 여기에 있는 64비트 CentOS 상자에서 "yum presents /path/binary" 명령을 사용했는데 해당 바이너리는 모두 util-linux 패키지의 일부입니다. 최근 업데이트에 나열되어 있습니다.

답변2

지금부터 2009년 9월 3일 사이의 어느 시점에서 'prelink''를 사용했을 가능성이 있습니까? Prelink에는 MD5 플래그가 있습니다:

--md5

이는 표준 출력 MD5 다이제스트에 대한 사전 링크가 인쇄되기 전에 바이너리 또는 라이브러리의 내용을 출력하는 대신 --verify 옵션과 유사합니다. md5sum(1)을 참조하십시오.

이를 통해 바이너리를 확인하십시오. 그러면 사전 링크로 인해 변경이 발생하는 경우 기록된 값과 일치해야 합니다.

관련 정보