我正试图追踪这个奇怪的行为多年了.
总是在安装软件更新后,很多系统工具的权限都会被破坏,如下所示.我有理由相信这台机器不属于其他人.定期安全更新grsecurity内核pax每日rkhunter运行.除此之外,没有动机让攻击者以如此明显的方式摆弄系统.
我安装了bastille linux(http://bastille-linux.sourceforge.net/)并试图稍后卸载它,所以问题可能与此有关.但是我没有看到更新后如何以常规方式发生这种情况.
系统：Ubuntu 10.04,最近更新到Ubuntu 12.04,但问题仍然存在.
在/ etc / apt /中的Apt-Configuration对我来说是理智的.但不过 – 这可能是问题的根源吗？
DPkg::Pre-Install-Pkgs {"/usr/sbin/dpkg-preconfigure --apt || true";};
DPkg::Post-Invoke { "if [ -x /usr/bin/debsums ]; then /usr/bin/debsums --
generate=nocheck -sp /var/cache/apt/archives; fi"; };
// Makes sure that rkhunter file properties database is updated
// after each remove or install only APT_AUTOGEN is enabled
DPkg::Post-Invoke { "if [ -x /usr/bin/rkhunter ] && grep -qiE '^APT_AUTOGEN=.?
(true|yes)' /etc/default/rkhunter;
then /usr/share/rkhunter/scripts/rkhupd.sh; fi" }
DPkg::Post-Invoke {"if [ -d /var/lib/update-notifier ];
then touch /var/lib/update- notifier/dpkg-run-stamp; fi;
if [ -e /var/lib/update-notifier/updates-available ];
then echo > /var/lib/update-notifier/updates-available; fi "; };
这些chmod 000来自哪里？我对这个问题感到非常不安.
root@besen:~# find /usr/bin/ -perm 0 -ls 14721496 196 ---------- 1 root root 192592 Oct 15 11:58 /usr/bin/apt-get 14721144 68 ---------- 1 root root 63848 Sep 13 00:29 /usr/bin/gpasswd root@besen:~# find /usr/sbin/ -perm 0 -ls 1727732 92 ---------- 1 root root 86984 Sep 13 00:29 /usr/sbin/usermod 1727727 64 ---------- 1 root root 57640 Sep 13 00:29 /usr/sbin/userdel 1727719 64 ---------- 1 root root 57680 Sep 13 00:29 /usr/sbin/newusers 1727718 40 ---------- 1 root root 38632 Sep 13 00:29 /usr/sbin/grpunconv 1727728 48 ---------- 1 root root 47088 Sep 13 00:29 /usr/sbin/groupadd 1727724 32 ---------- 1 root root 29584 Sep 13 00:29 /usr/sbin/pwunconv 19031620 84 ---------- 1 root root 81880 Jan 3 2012 /usr/sbin/edquota 14877113 48 ---------- 1 root root 46880 Sep 13 00:29 /usr/sbin/grpck 1727722 40 ---------- 1 root root 38632 Sep 13 00:29 /usr/sbin/pwck 1727730 96 ---------- 1 root root 91464 Sep 13 00:29 /usr/sbin/useradd 19031619 16 ---------- 1 root root 14600 Jan 3 2012 /usr/sbin/quotastats 1727720 44 ---------- 1 root root 42760 Sep 13 00:29 /usr/sbin/groupdel 1727733 36 ---------- 1 root root 34504 Sep 13 00:29 /usr/sbin/pwconv 19031621 80 ---------- 1 root root 77632 Jan 3 2012 /usr/sbin/rpc.rquotad 19030041 76 ---------- 1 root root 73600 Jan 3 2012 /usr/sbin/repquota 1727731 40 ---------- 1 root root 38624 Sep 13 00:29 /usr/sbin/grpconv 1727725 56 ---------- 1 root root 49472 Sep 13 00:29 /usr/sbin/vipw 1727723 64 ---------- 1 root root 57672 Sep 13 00:29 /usr/sbin/groupmod root@besen:~# find /sbin/ -perm 0 -ls 16760927 76 ---------- 1 root root 73464 Jan 3 2012 /sbin/quotaon
任何tipps？我真的无法更详细地查明问题.安装更新后会发生这种情况,但我在dpkg / apt系统中找不到任何挂钩.
事实证明,思考问题并在这里提出问题给了我答案.
Bastille安装了dpkg-statoverride使用的文件 – 这些文件包含所有可执行文件并将其权限设置为000.
我现在删除文件/ var / lib / dpkg / statoverride,希望问题现在消失了.
我还发现了有关该问题的更多信息：
> http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=596954
> http://blog.xk72.com/post/27594678567/bastille-causing-admin-binary-file-permissions-to-be
自己注意：RTFM更频繁;)
