在运行 Centos 的其中一台机器上
cat /etc/redhat-release
CentOS Linux release 7.9.2009 (Core)
我通过命令 aureport -x --summary 发现了一些奇怪的事情
aureport -x --summary
Executable Summary Report
=================================
total file
=================================
19328 /usr/bin/rpm
11802 /usr/sbin/crond
7713 /usr/sbin/sshd
4201 /usr/bin/grep
1564 /usr/libexec/postfix/pickup
1031 /usr/sbin/libvirtd
891 /usr/sbin/logrotate
866 /usr/sbin/unix_chkpwd
785 /usr/lib/systemd/systemd-logind
704 /usr/bin/ps
541 /usr/bin/su
302 /usr/bin/bash
295 /usr/sbin/xtables-multi
294 /usr/lib/systemd/systemd
222 /usr/bin/sudo
171 /usr/bin/id
135 /usr/bin/systemd-tmpfiles
66 /usr/bin/python2.7
48 /usr/bin/date
46 /usr/sbin/brctl
41 /usr/bin/ls
32 /usr/bin/ssh
31 /usr/bin/diff
30 /usr/sbin/sendmail.postfix
29 /usr/sbin/anacron
27 /usr/lib/polkit-1/polkitd
27 /usr/bin/pkla-check-authorization
24 /usr/libexec/postfix/cleanup
24 /usr/libexec/postfix/trivial-rewrite
24 /usr/libexec/postfix/local
20 /usr/sbin/virtlogd
18 /usr/sbin/postdrop
15 /usr/sbin/ebtables-restore
10 /usr/bin/kmod
6 /usr/bin/vim
6 /usr/libexec/postfix/master
5 /usr/sbin/sshd;61b30d72 (deleted)
4 /usr/bin/ssh-keygen
3 /usr/sbin/postfix
3 /usr/sbin/postlog
3 /usr/lib/systemd/systemd-update-utmp
3 /usr/sbin/autrace
2 /usr/bin/cpio
1 /usr/bin/getent
1 /usr/bin/chown
1 /usr/sbin/ip
“61b30d72（已删除）”是什么意思
rkhunter 没有显示任何警告或可疑文件！即
rkhunter --update --propupd
[ Rootkit Hunter version 1.4.6 ]
进而
rkhunter -c -sk
!!!全是绿色!!!
61b30d72 是什么意思？
答案1
这意味着/usr/sbin/sshd报告行引用的可执行文件在审计日志条目和报告时间之间已被删除。最可能的原因是它已被更新替换。这一解释得到了以下事实的支持：有另一行/usr/sbin/sshd没有提及deleted，该行引用了报告创建时存在的更新的可执行文件。