“aureport -x --summary”显示-> /usr/sbin/sshd;61b30d72(已删除)

“aureport -x --summary”显示-> /usr/sbin/sshd;61b30d72(已删除)

在运行 Centos 的其中一台机器上

cat /etc/redhat-release 
CentOS Linux release 7.9.2009 (Core)

我通过命令 aureport -x --summary 发现了一些奇怪的事情

 aureport -x --summary

Executable Summary Report
=================================
total  file
=================================
19328  /usr/bin/rpm
11802  /usr/sbin/crond
7713  /usr/sbin/sshd
4201  /usr/bin/grep
1564  /usr/libexec/postfix/pickup
1031  /usr/sbin/libvirtd
891  /usr/sbin/logrotate
866  /usr/sbin/unix_chkpwd
785  /usr/lib/systemd/systemd-logind
704  /usr/bin/ps
541  /usr/bin/su
302  /usr/bin/bash
295  /usr/sbin/xtables-multi
294  /usr/lib/systemd/systemd
222  /usr/bin/sudo
171  /usr/bin/id
135  /usr/bin/systemd-tmpfiles
66  /usr/bin/python2.7
48  /usr/bin/date
46  /usr/sbin/brctl
41  /usr/bin/ls
32  /usr/bin/ssh
31  /usr/bin/diff
30  /usr/sbin/sendmail.postfix
29  /usr/sbin/anacron
27  /usr/lib/polkit-1/polkitd
27  /usr/bin/pkla-check-authorization
24  /usr/libexec/postfix/cleanup
24  /usr/libexec/postfix/trivial-rewrite
24  /usr/libexec/postfix/local
20  /usr/sbin/virtlogd
18  /usr/sbin/postdrop
15  /usr/sbin/ebtables-restore
10  /usr/bin/kmod
6  /usr/bin/vim
6  /usr/libexec/postfix/master
5  /usr/sbin/sshd;61b30d72 (deleted)
4  /usr/bin/ssh-keygen
3  /usr/sbin/postfix
3  /usr/sbin/postlog
3  /usr/lib/systemd/systemd-update-utmp
3  /usr/sbin/autrace
2  /usr/bin/cpio
1  /usr/bin/getent
1  /usr/bin/chown
1  /usr/sbin/ip

“61b30d72(已删除)”是什么意思

rkhunter 没有显示任何警告或可疑文件!即

rkhunter --update --propupd
[ Rootkit Hunter version 1.4.6 ]

进而

rkhunter -c -sk

!!!全是绿色!!!

61b30d72 是什么意思?

答案1

这意味着/usr/sbin/sshd报告行引用的可执行文件在审计日志条目和报告时间之间已被删除。最可能的原因是它已被更新替换。这一解释得到了以下事实的支持:有另一行/usr/sbin/sshd没有提及deleted,该行引用了报告创建时存在的更新的可执行文件。

相关内容