rkhunter मुझे root.rules के बारे में चेतावनी देता है

15

मै भागा :

:~$ sudo rkhunter --checkall --report-warnings-only

एक चेतावनी मुझे मिली है:

Warning: Suspicious file types found in /dev:
         /dev/.udev/rules.d/root.rules: ASCII text

और root.rulesइसमें शामिल हैं:

SUBSYSTEM=="block", ENV{MAJOR}=="8", ENV{MINOR}=="1", SYMLINK+="root"

मैं उन चरों के अर्थ और भूमिका को समझना चाहूंगा SUBSYSTEM, ENV{MAJOR}और SYMLINK+।

security chkrootkit rkhunter

— 4m1nh4j1
स्रोत

13

विचाराधीन लाइन एक udevनियम है , जो उस उपकरण की पहचान करने के लिए उपयोग की जाने वाली कुछ शर्तों को परिभाषित करता है जो नियम पर काम कर रहा है।

SUBSYSTEMएक मिलान कुंजी है, जो डिवाइस के सबसिस्टम के खिलाफ मेल खाता है। इस मामले में, नियम केवल blockसिस्टम से ही मेल खाता है ।
ENVवह कुंजी है जिसका उपयोग पर्यावरण चर के मिलान और नियतन दोनों के लिए किया जा सकता है। इस स्थिति में, नियम MAJORपहले से घोषित चर के साथ उपकरणों से मेल खाता है 8, और MINORचर पहले घोषित किया गया है 1।
SYMLINKएक असाइनमेंट कुंजी है, जिसमें प्रतीकात्मक लिंक की एक सूची होती है जो डिवाइस नोड के लिए वैकल्पिक नामों के रूप में कार्य करती है। फ़ॉर्म KEY+="value"की कार्रवाइयाँ निष्पादित होने वाली क्रियाओं में शामिल होती हैं, उदाहरण के लिए इस मामले में निर्देशिका के अंतर्गत आने वाली सहिष्णुता बनाने के लिए SYMLINK+="root"कहता udevहै , इसके अलावा किसी भी अन्य सिम्बलिंक को बनाने जा रहा है।root/dev

दूसरे शब्दों में, उपर्युक्त नियम प्रमुख डिवाइस नंबर और माइनर डिवाइस नंबर के साथ सबसिस्टम से संबंधित उपकरणों के लिए udevऔर अतिरिक्त सिमलिंक बनाने के लिए कहता है/dev/rootblock 8 1 , यानी रूट विभाजन के ।

विचाराधीन mountallफ़ाइल फ़ाइल सिस्टम माउंटिंग टूल द्वारा बनाई गई है , और जब तक कि यह विश्व योग्य नहीं है, तब तक यह समस्या नहीं होनी चाहिए। rkhunterफ़ाइल को उसके प्रकार के कारण चिह्नित करता है। rkhunterचेतावनी को दबाने के लिए , आप इसमें एक श्वेतसूची नियम जोड़ सकते हैं /etc/rkhunter.conf.local:

ALLOWDEVFILE=/dev/.udev/rules.d/root.rules

— थॉमस निमन
स्रोत

3

Udv नियम आपके सेटअप में SUBSUSTEM=="block"सूचना 8,1 ( ENV{MAJOR}=="8", ENV{MINOR}=="1"पहली ड्राइव पर पहला विभाजन ) के साथ ब्लॉकदेविस ( ) के लिए एक प्रतीकात्मक लिंक बनाता है । लिंक को / dev / root के साथ नाम दिया गया है SYMLINK+="root", प्लस चिन्ह बताता है कि udev को इस उपकरण के लिए बनाए गए किसी भी पिछले लिंक को अधिलेखित नहीं करना चाहिए, बल्कि इसे एक और लिंक जोड़ना चाहिए।

इस तरह का एक अन्य नियम कई लिनक्स सिस्टम पर किसी न किसी रूप में पाया जाता है, यह है:

SUBSYSTEM=="block", ENV{ID_SERIAL}=="DVD_Drive_USB2_10000E0008441C1E", SYMLINK+="cdrom"

यह कहता है कि सीरनबर्ड DVD_Drive_USB2_10000E0008441C1E के साथ ब्लॉकदेवी को / देव / cdrom के लिए सहानुभूति दी जा सकती है

मुझे पूरी तरह से यकीन नहीं है कि rkhunter इस बारे में शिकायत क्यों करता है, लेकिन यह ठीक प्रकार से /dev/.udev/rules.d/root.rules के उपकरण या प्रतीकात्मक लिंक नहीं होने के कारण है, बल्कि एक फ़ाइल के कारण है। मुझे नहीं लगता कि यह खतरनाक है।

— LassePoulsen
स्रोत