☰

Como descobrir a origem de uma mensagem do sistema ("testando o buffer" em dmesg/journalctl/messages)?

tag-icon • tag-icon systemd-journald journalctl
Como descobrir a origem de uma mensagem do sistema ("testando o buffer" em dmesg/journalctl/messages)?

Nos últimos dias, recebi uma mensagem no log/diário do sistema mais de mil vezes em um segundo. Como posso descobrir onde ele se originou?

# journalctl --system | grep "testing the buffer" | uniq --count
1522 Apr 06 13:49:31 laptop unknown: testing the buffer

Então, 1522 vezes a mesma mensagem por “desconhecido”. Isso é possivelmente malicioso?

# find / -xdev -type f -print0 | xargs -0 grep "testing the buffer" | grep -v /var/log/journal
Exit 1

Nenhum arquivo de sistema contém essa string!

O sistema usa systemd-journaldpara logs do sistema.

Responder1

Parece estar relacionado ao kernel mais recente (5.6.x).

Se você seguir o diário com nível detalhado

sudo journalctl -f -o verbose

Você pode ver _TRANSPORT=kernel

Sun 2020-04-12 09:32:38.852081 CEST [s=ca0e47a50a2047e483013075418f4a72;i=1d58f89;b=343f4563d34649baad6f57aacc0320a1;m=e9cad4480;t=5a312f895b1f1;x=16d4d0c3d713857c]
    _MACHINE_ID=*******
    _HOSTNAME=*******
    _TRANSPORT=kernel
    PRIORITY=4
    SYSLOG_FACILITY=1
    MESSAGE=testing the buffer
    _BOOT_ID=343f4563d34649baad6f57aacc0320a1
    _SOURCE_MONOTONIC_TIMESTAMP=62758810437

Há realmente um bug listado para o OpenSUSEhttps://bugzilla.opensuse.org/show_bug.cgi?id=1168664(mas relacionado ao kernel, estou no Ubuntu) corrigido como sobras de minot emhttps://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=41c55ea6c2a7ca4c663eeec05bdf54f4e2419699

Felizmente, nada para se preocupar, ele desaparecerá quando eles fundirem a correção no kernel empacotado...

Responder2

  1. A string "testando o buffer" fica dentro do arquivo do kernel 5.6.5./net/bpfilter/main.c
  2. Espero que esta mensagem DEBUG inofensiva desapareça em versões futuras do kernel.
  3. Encontrei a fonte desta mensagem da seguinte forma:
    1. Em um shell bash entrando na raiz da árvore de origem do kernel 5.6.5
    2. Executando:
      para eu entrarfind . -name "*.c"
fazer
ecoar $i
grep "testando o buffer" $i
concluído> pq.log
    3. Dentro do arquivo pq.log localizando a string por abertura e inspecionando o arquivo com
      vi pq.log

informação relacionada