Onbekende bestanden verschijnen telkens in home-directory

[MrScratch]

Ik heb sinds enige tijd dat er telkens ogenschijnlijk random bestanden in mijn home-directory ontstaan op mijn raspberry pi.
Deze bestanden hebben allemaal een zelfde patroon ''$'\xxx\177' met voor xxx verschillende getallen tussen de 177 en de 276, zo lijkt het.

Ik kan er geen patroon in herkennen en weet ook niet waar deze vandaan komen. Als ik ze verwijder, dan gebeurt er verder niks belangrijks, maar ze komen in de tijd van enkele dagen wel weer steeds terug.

Hoe kan ik ontdekken welk proces dit veroorzaakt en wat er precies gaande is?

Ik heb geprobeerd met ChatGPT te achterhalen wat er gaande is. Deze geeft me tips om een soort van watcher op de directory te zetten, maar dat werkt verder niet goed. Via die weg lukt het me dus niet om het verder uit te vinden wat er aan de hand is.

[jeroen3]

De '$' map doe mij vermoeden is dat iemand ergens een bash script heeft verprutst en nu variabelen niet meer juist worden omgezet. Mogelijk een escape vergeten, of iets anders.

Er is vast een mogelijk voor audit logs van je filesystem, onderzoek dat eens.

[ahbart]

Een een herstart lost dat probleem niet op?
Als dat namelijk een script is zoals Jeroen3 stelt, dan zou die mogelijk niet automatisch moeten starten.
Als na een herstart wel die bestanden verschijnen, dan zou je mogelijk kunnen zoeken in processen die opstarten. Denk aan cron, autostart.

[ Voor 74% gewijzigd door ahbart op 19-05-2025 10:46 ]

[proatjeboksem]

met lsof kun je bekijken welk proces het bestand open heeft.
Moet je natuurlijk wel net geluk hebben dat het proces niet is afgesloten, maar je kunt een bash scriptje met een while true laten lopen of als alternatief inotify-tools gebruiken (inotifywait -m -r ~/)

https://linux.die.net/man/8/lsof

https://stackoverflow.com...tree-for-changes-in-linux

[MrScratch]

jeroen3 schreef op maandag 19 mei 2025 @ 09:28:
De '$' map doe mij vermoeden is dat iemand ergens een bash script heeft verprutst en nu variabelen niet meer juist worden omgezet. Mogelijk een escape vergeten, of iets anders.

Er is vast een mogelijk voor audit logs van je filesystem, onderzoek dat eens.

Ik heb in crontab gekeken, maar er zijn voor zowel mijn user "peter" als voor root geen cron jobs actief. Ook heb ik geen weet van bash scripts die zouden moeten draaien. Ik weet niet wat je bedoelt met audit logs van het filesystem.

ahbart schreef op maandag 19 mei 2025 @ 10:43:
Een een herstart lost dat probleem niet op?
Als dat namelijk een script is zoals Jeroen3 stelt, dan zou die mogelijk niet automatisch moeten starten.
Als na een herstart wel die bestanden verschijnen, dan zou je mogelijk kunnen zoeken in processen die opstarten. Denk aan cron, autostart.

Nee, systeem is al meerdere keren opnieuw gestart. Maar het probleem blijft. crontab kan ik niets bij vinden.

proatjeboksem schreef op maandag 19 mei 2025 @ 10:52:
met lsof kun je bekijken welk proces het bestand open heeft.
Moet je natuurlijk wel net geluk hebben dat het proces niet is afgesloten, maar je kunt een bash scriptje met een while true laten lopen of als alternatief inotify-tools gebruiken (inotifywait -m -r ~/)

https://linux.die.net/man/8/lsof

https://stackoverflow.com...tree-for-changes-in-linux

Ik zal naar deze opties kijken. lsof lijkt geen output te geven als ik die op dit bestand loslaat.

[Bastien]

Je bent blijkbaar niet alleen op de wereld met deze uitdaging, maar veel kom ik het ook niet tegen. Heb https://www.reddit.com/r/...ed_automatically_in_home/ gevonden maar ook daar geen oplossing.

Niet iets van software draaien wat om wat voor reden ook in je homedir wil schrijven?

[Hero of Time]

Kom eerst maar even met wat je hebt draaien op die Pi. Er wordt niet voor niets om gevraagd bij het openen van het topic: "Welke hard- en software er wordt gebruikt". Want een kale uitvoering van Raspbian OS (of hoe het tegenwoordig ook heet) doet namelijk helemaal niks.

De bestandsnaam geeft ook duidelijk aan dat het om escaping fouten gaat. Want het begint met twee enkele quotes, daarna $ en een paar \ staan er in.

[hcQd]

Je zou fatrace kunnen proberen.

[proatjeboksem]

MrScratch schreef op maandag 19 mei 2025 @ 18:04:

[...]

Ik zal naar deze opties kijken. lsof lijkt geen output te geven als ik die op dit bestand loslaat.

Nee, daar was ik al bang voor, het proces is allang klaar en weer weg tegen de tijd dat je kijkt.
Dus, een bash scriptje of filewatcher installeren en dan wachten tot je het proces kunt vangen.

[vanaalten]

Ik zou ook eens in /var/log/syslog kijken, specifiek op de tijden waarop die bestanden geschreven zijn.

[MrScratch]

Hero of Time schreef op maandag 19 mei 2025 @ 18:48:
Kom eerst maar even met wat je hebt draaien op die Pi. Er wordt niet voor niets om gevraagd bij het openen van het topic: "Welke hard- en software er wordt gebruikt". Want een kale uitvoering van Raspbian OS (of hoe het tegenwoordig ook heet) doet namelijk helemaal niks.

De bestandsnaam geeft ook duidelijk aan dat het om escaping fouten gaat. Want het begint met twee enkele quotes, daarna $ en een paar \ staan er in.

Ik heb Raspbian OS geinstalleerd en daar bovenop Home Asssistant in een docker container draaien. Voor home assistant nog een aantal packages draaien zoals EVCC, mosquitto, zigbee2mqtt en unifi controller. Verder nog wat Home Assistant Custom Integrations packages in de custom_components directory draaien.

Bastien schreef op maandag 19 mei 2025 @ 18:14:

Je bent blijkbaar niet alleen op de wereld met deze uitdaging, maar veel kom ik het ook niet tegen. Heb https://www.reddit.com/r/...ed_automatically_in_home/ gevonden maar ook daar geen oplossing.

Niet iets van software draaien wat om wat voor reden ook in je homedir wil schrijven?

Deze links lijken precies op wat ik ook heb. Interessant, maar helaas geen antwoord op wat het kan zijn in die posts.

[ahbart]

Zou dit het geval kunnen zijn van filesystem problemen? In dat geval een chkdsk?

[Hero of Time]

MrScratch schreef op dinsdag 20 mei 2025 @ 14:53:
[...]

Ik heb Raspbian OS geinstalleerd en daar bovenop Home Asssistant in een docker container draaien. Voor home assistant nog een aantal packages draaien zoals EVCC, mosquitto, zigbee2mqtt en unifi controller. Verder nog wat Home Assistant Custom Integrations packages in de custom_components directory draaien.

En hoe heb je die docker containers draaien? Welke handleiding gevolgd? Wordt de home map volledig gedeeld met een container? Heb je al eens geprobeerd om met een minimale setup te draaien en dan langzaam aan stuk voor stuk de uitbreidingen?

Zo veel vragen, zo weinig informatie.

[MrScratch]

Hero of Time schreef op dinsdag 20 mei 2025 @ 19:13:
[...]

En hoe heb je die docker containers draaien? Welke handleiding gevolgd? Wordt de home map volledig gedeeld met een container? Heb je al eens geprobeerd om met een minimale setup te draaien en dan langzaam aan stuk voor stuk de uitbreidingen?

Zo veel vragen, zo weinig informatie.

Sorry, ik heb inderdaad niet alle info gegeven die ik had kunnen delen. Ik wist niet zo goed wat relevant is en wat niet.

Die docker container draait in een subdirectory van mijn home directory, dus /home/peter/homeassistant. Daar staat een compose.yaml, waarmee de docker container start via "docker-compose up -d"

Een minimale setup en daarna uitbreiden is er nog niet van gekomen. Er was ooit een tijd dat ik linux draaide door mijn eigen OS te compilen en zo alles stap voor stap te installeren, maar dat is vele jaren geleden en met een gezin nu is die skill steeds slechter geworden en ga ik nu vaak voor makkelijkst. Dus Raspbian op een SSD en daarbovenop docker met HomeAssistant was dus de snelste manier.

Maar de tips over een minimale setup en uitzetten van services hebben me wel op een idee gebracht. Samen met de tip om fa-trace te gebruiken van @hcQd heb ik geprobeerd om het proces te vinden dat misschien hiervoor zou kunnen zorgen en daarmee bij lightdm uitgekomen. Aangezien de raspberry pi headless in mijn meterkast ligt, heb ik weinig aan een x-display manager. Deze heb ik dus uitgezet en het lijkt erop dat nu al enige tijd geen bestanden meer worden aangemaakt.

Fingers crossed.

[Hero of Time]

Als je weet dat je headless gaat draaien, waarom heb je dan niet direct Raspbian Lite genomen? Die heeft namelijk geen GUI. Scheelt ook aanzienlijk in schijfruimte gebruik, tijd dat updates uitgevoerd worden (want veel minder packages) en een beetje geheugen.

Het is dat je nu al mogelijk de oplossing hebt, anders had ik nog om de yaml gevraagd, want daar staat van alles in wat relevant kan zijn.

[MrScratch]

Hero of Time schreef op woensdag 21 mei 2025 @ 18:46:
Als je weet dat je headless gaat draaien, waarom heb je dan niet direct Raspbian Lite genomen? Die heeft namelijk geen GUI. Scheelt ook aanzienlijk in schijfruimte gebruik, tijd dat updates uitgevoerd worden (want veel minder packages) en een beetje geheugen.

Het is dat je nu al mogelijk de oplossing hebt, anders had ik nog om de yaml gevraagd, want daar staat van alles in wat relevant kan zijn.

Ja, klinkt logisch achteraf gezien. Ik was alleen op dat moment niet zo scherp, wist eigenlijk niet dat er een dergelijke versie bestond. Dank voor de tip hiervoor.

Overigens heb ik display-manager en lightdm uitgezet. Nu nog steeds geen bestanden gecreerd, dus ik denk dat ik echt de boosdoener te pakken heb. De load en cpu-usage is nu ook veel beter trouwens, dus eigenlijk was dit een "blessing in disguise".

Ik ga nu eens overwegen of ik een nieuwe install met verse Raspbian-Lite ga doen of mijn huidige install verder probeer te strippen van dingen die overbodig zijn zoals de display manager enzovoort. Maar dat is misschien voer voor een ander topic.

[ Voor 4% gewijzigd door MrScratch op 21-05-2025 20:00 ]

[Hero of Time]

Makkelijker (en waarschijnlijk ook veel sneller) om een backup te maken van je container config en de lite image gebruiken.