[plamo:17203] Re: chkrootkit-0.38 says netstat on a Plamo-3.0is INFECTED

[KOJIMA]

こじま＠年内一杯は反応がかなり悪い，です．

From: KAWAMATA Yoshihiro <kaw@on.rim.or.jp>
Subject: [plamo:17202] Re: chkrootkit-0.38 says netstat on a Plamo-3.0 is INFECTED
Date: Sat, 28 Dec 2002 22:04:30 +0900 (JST)

> > 標記の通りです。CDからインストールしただけの状態で、こうなります。
> > chkrootkit-0.34ではそうは言われませんでした。
> > これはchkrootkit-0.38側の問題か、本当にPlamo-3.0のnetstatは
> > 犯されているのか、判断に困っています。
> > どうやって判別すればいいでしょうか？
> 
>   うちのマシンで、MD5を見てみました。
> 
>     $ which netstat
>     /bin/netstat
>     $ ls -l /bin/netstat
>     -rwxr-xr-x    1 root     root       220775  3月 21日 2000年 /bin/netstat*
>     $ md5sum /bin/netstat
>     b9c9bd4a0e321a80bdeddc1e31c8c288  /bin/netstat
> 
>   このマシンは壁の内側なので、たぶん大丈夫なはず。上記と同じならばひと
> まずは安心‥‥かな？

Que さんもおっしゃっているように，インストール直後ということなので，
n1/tcpip.tgz にある netstat 自体が chkrootkit-0.38 では引っかかる，と
いうことなんでしょう．

何をもって "INFECTED" と判定しているのかが不明なので何とも言えないので
すが，netstat 自体は nettools の中にあって，手元でコンパイルしてパック
した記憶があるので，多分大丈夫なんじゃないかなぁ．．

>   Plamo Linux ではないですが、chkrootkit はたまに誤検出が出ますよ。
> 私も今から Plamo-3.0 で chkrootkit-0.38 試してみます。

kojima@celeron[~/Images]% netstat --version
net-tools 1.54
netstat 1.38 (1999-04-20)
Fred Baumgarten, Alan Cox, Bernd Eckenfels, Phil Blundell, Tuan Hoang and others
+NEW_ADDRT +RTF_IRTT +RTF_REJECT +FW_MASQUERADE +I18N
AF: (inet) +UNIX +INET -INET6 +IPX +AX25 +NETROM +ATALK -ECONET -ROSE 
HW:  +ETHER -ARC +SLIP +PPP +TUNNEL +TR +AX25 +NETROM +FR -ROSE -ASH -SIT -FDDI -HIPPI -HDLC/LAPB 

という風に，バージョンはかなり古くなっているので，新しいのがあれば更新
した方がいい気はしますね．

------
こじま