藤田と申します。 chkrootkit 関連ということでここに繋げています。 Date: Sun, Jun 12, 2005 at 09:16:01PM +0900 Subject: [vine-users:072134] Re: ps コマンドで relocation errorエラーがでる。 Message-Id: <20050612210731.5743031.-769975543@xxxxxxxxxxxxxxxxx> > hikaru@biglobeです。 > (略) > ざーっと調べたところ、バックドア仕込まれたみたいで、なんだかとっても > ヤバそうです。早急にLanケーブルをマシンからはずして、chkrootkit > (http://www.atmarkit.co.jp/flinux/rensai/linuxtips/741chkrootkit.html に > 紹介記事有り)等でチェックしてみたらどうでしょうか? という話をみて、chkrootkit-0.45 でチェックをしてみました。 # sudo ./chkrootkit (略) Checking `asp'... not infected Checking `bindshell'... not infected Checking `lkm'... ERROR: Thread display not implemented. ********* simple selection ********* ********* selection by list ********* -A all processes -C by command name -N negate selection -G by real group ID (supports names) -a all w/ tty except session leaders -U by real user ID (supports names) -d all except session leaders -g by session leader OR by group name -e all processes -p by process ID T all processes on this terminal -s processes in the sessions given a all w/ tty, including other users -t by tty g all, even group leaders! -u by effective user ID (supports names) r only running processes U processes for specified users x processes w/o controlling ttys t by tty *********** output format ********** *********** long options *********** -o,o user-defined -f full --Group --User --pid --cols -j,j job control s signal --group --user --sid --rows -O,O preloaded -o v virtual memory --cumulative --format --deselect -l,l long u user-oriented --sort --tty --forest --version X registers --heading --no-heading ********* misc options ********* -V,V show version L list format codes f ASCII art forest -m,m show threads S children in sum -y change -l format -n,N set namelist file c true command name n numeric WCHAN,UID -w,w wide output e show environment -H process heirarchy OooPS! chkproc: Warning: Possible LKM Trojan installed Checking `rexedcs'... not found (後略) ということで、ps のコマンドが失敗します。 http://cialug.org/pipermail/cialug/2005-March.txt によれば、chkproc.c の中で ps コマンドが ps mauwx で呼ばれていることが原因みたいです。 man ps ではこのオプションがあるみたいです。 procps-2.0.7-11 では thread display を扱えないとのことなので Vine の procps-2.0.6-5vl6 ではなおさら無理と思われます。 chkrootkit でチェックをかける場合、chkrootkit の chkproc.c を書き直す必要があるのかも知れません。 それとも本当にトロイの木馬がいるのだろうか....