chkrootkit檢查到/root/.bash_history檔案內容被清空，是否為遇到安全問題

[訪客]

各位學長好

小弟之位於/etc/cron.daily的chkrootkit程式回覆一份執行後的報告，告知下列訊息

/etc/cron.daily/chkrootkit:
Warning: `//root/.bash_history' file size is zero

我察看此檔案內容，真得是清空了。
我的電腦是位於防火牆內，IP為192.168.xxx.xxx

以訊息內容為關鍵字，在google查尋，沒有找到什麼可理解資訊。

請問是否有什麼程序會自動清除這個檔案的內容，或者小弟是遭遇了安全問題。

[d2207197]

因為做完壞事之後，通常會去砍記錄
/root/.bash_history 不就是記錄之一

[Tetralet]

我昨天在亂搞我的系統時，
也是一樣突然所有的 history 資料都不見了，
而 /tmp 這個資料夾的權限也變成了 0755 了...

可是我的機器基本上是沒有提供任何的網路服務，
（用 iptables 擋得死死的）
不知是什麼原因？

而我也檢查了我公司的機器。
其中一台（DNS Server）它的 history 也是空空的。

看來蠻有山雨欲來之勢，
擔心...

[caosheng]

如果人家要刪history
有必要全部都清空嗎？是否有此地無銀之嫌？
把他增加的幾筆紀錄弄掉也就是了

[訪客]

各位學長好

小弟遇到這個問題後（//root/.bash_history被清空），隨處看看。看到這三天都有幾個unknown埠開啟（過去未注意是否有unknown埠）。昨天是699；今天早上是723和733；今天下午除了723/733之外，還多了777.（以nmap -sT localhost察看到的）

以lsof -l指令找出這些埠的使用者程式分別為famd和rpc.stat（或以fuser -v 723/tcp察看）
以rpcinfo -p找找看相關rpc服務，可看到包括777。

請問這些unknown埠的開啟與上述問題是否相關，小弟需再進一步檢查什麼地方？（小弟電腦位於防火牆內的埠，防火牆僅允許80埠通過）

[rostin]

我也察看了自己的主機
發現有一個unknow port 946
也是 famd
去看了DebianWiki
裡面有famd的相關說明

代碼: 選擇全部

檔案更動監視器，透過 poll、rpc或核心支援 dnotify (大於等於 2.4.x)，監視特定檔案更動狀態，於桌面系統軟體併用。

不過還是不太清楚??

[d2207197]

famd 就是可以監視檔案的變動，然後通知其他應用軟體作改變。
比如說你開了個 nautilus 瀏覽你的家目錄，然後在另一個 terminal 執行 touch ~/file。
nautilus 並不會自動更新，你在 nautilus 中還是看不到 file 這個檔案，
必須手動按重新整理才行。

如果有了 fam，nautilus 就會自動更新了。
不過新版 Gnome 已經將 fam 淘汰，改用 gamin 了。