[Debian Etch] /root/.bash_history file size is 0

[DPLuS]

Vanmorgen kreeg ik het volgende mailtje van mijn webserver:

/etc/cron.daily/chkrootkit:
Warning: `//root/.bash_history' file size is zero

Toen ik keek naar de laatst gewijzigde tijd, was dat 20:27 uur.
Dat was precies dezelfde tijd dat ik gisteren uit die machine logde als gebruiker root (niet via een commando logout, maar gewoon mijn SSH-terminal weggeklikt, misschien dat dat uitmaakt?).

De machine is verder up-to-date.
Ik draai iedere dag "apt-get upgrade".

Zou er een geldige reden kunnen zijn dat die .bash_history helemaal leeg is? Bijvoorbeeld een optie in BASH?

Volgens chkrootkit en rkhunter is er verder niks aan de hand.
Volgens "ps aux" draaien er verder ook geen rare processen.
Volgens "last" en /var/log/auth.log geen andere gebruikers binnengekomen.

Wat is er aan de hand?

Bovendien post ik dit er ook even bij:

code:

#/usr/lib/chkrootkit/chkproc -v
PID  2905(/proc/2905): not in readdir output
PID  2905: not in ps output
PID  2906(/proc/2906): not in readdir output
PID  2906: not in ps output
PID  2907(/proc/2907): not in readdir output
PID  2907: not in ps output
PID  2974(/proc/2974): not in readdir output
PID  2974: not in ps output
PID  2975(/proc/2975): not in readdir output
PID  2975: not in ps output
PID  2976(/proc/2976): not in readdir output
PID  2976: not in ps output
PID  2977(/proc/2977): not in readdir output
PID  2977: not in ps output
PID  2978(/proc/2978): not in readdir output
PID  2978: not in ps output
PID  2979(/proc/2979): not in readdir output
PID  2979: not in ps output
PID  2980(/proc/2980): not in readdir output
PID  2980: not in ps output
PID  2981(/proc/2981): not in readdir output
PID  2981: not in ps output
PID  2982(/proc/2982): not in readdir output
PID  2982: not in ps output
PID  8280(/proc/8280): not in readdir output
PID  8280: not in ps output
PID  8302(/proc/8302): not in readdir output
PID  8302: not in ps output
PID  8303(/proc/8303): not in readdir output
PID  8303: not in ps output
PID  8307(/proc/8307): not in readdir output
PID  8307: not in ps output
PID  8327(/proc/8327): not in readdir output
PID  8327: not in ps output
PID 12261(/proc/12261): not in readdir output
PID 12261: not in ps output
PID 12379(/proc/12379): not in readdir output
PID 12379: not in ps output
PID 12380(/proc/12380): not in readdir output
PID 12380: not in ps output
PID 12381(/proc/12381): not in readdir output
PID 12381: not in ps output
You have    21 process hidden for readdir command
You have    21 process hidden for ps command

[ Voor 52% gewijzigd door DPLuS op 21-09-2006 11:09 ]

[_JGC_]

Die verborgen processen lijkt me al niet gezond. Heb je de laatste versie van chkrootkit, of is het een verouderd ding. Draai je dat ding verder als root?
Kijk ook even of je bash_history niet toevallig naar /dev/null is gelinkt, dit wordt ook vaak gedaan door scriptkiddies die de boel willen verbergen.

[DPLuS]

Chkrootkit is recent, draai ik als root.

Verder maar een paar services die ook allemaal kloppen.
Alleen vraag ik me af hoe ik die "hidden processes" kan inventariseren?
Is daar geen programma voor.

Zover ik gekeken heb duidt niets op een intrusion.

Bovendien draait op een fresh install van Debian ook out of the box al processen die met ps niet tevoorschijn te toveren zijn, dus het kan expected behaviour zijn...

[ Voor 24% gewijzigd door DPLuS op 21-09-2006 12:26 ]

[_JGC_]

die chkrootkit, is dat toevallig de versie die bij debian geleverd wordt als pakket? in dat geval is het nml een van de minder recente versies.

Daarnaast kunnen hidden processes ook komen doordat tussen het controleren van readdir en ps een proces is afgesloten. Dit kan zomaar bijvoorbeeld het proces van de checktools zelf zijn.

Over die lege bash_history: standaard blijft de inhoud gewoon verborgen op linux. Van OpenBSD weet ik dat het bestand leeggegooid wordt zodra je uitlogt, puur omdat het bestand dingen als wachtwoorden zou kunnen bevatten.

[GX]

Je zou kunnen kijken wat je logout command is van bash. als daar iets instaat als '> ~/.bash_history' dan verklaart het in ieder geval waarom je file leeg is.

logout command: ~/.bash_logout

Bij mij staat er 'clear' in. om duidelijke redenen, misschien bij jou iets meer

[ Voor 27% gewijzigd door GX op 21-09-2006 16:39 ]

[not-known]

De eigenschappen van die hidden processen kan je overigens prima achterhalen dmv:

ls -l /proc/PIDNUMMER