Newsgroup: it.comp.os.linux.iniziare
Titolo: continuo a rompere con rkhunter

Ciao
colpa  vostra che mi avete segnalato  software  ...:-))
il log mi dice che...
 
Warning: The command '/usr/bin/fgrep' has been replaced by a script: 
/usr/bin/fgrep: a /u
sr/bin/sh script, ASCII text executable
 
ma
[root@ughettolinuxbox rkhunter]#  rpm -V initscripts fgrep && echo OK
il pacchetto fgrep non è stato installato
 
 
mi da un warning su un pachetto che non ho ?
 
probabilmente molto probabilmente
  a me sfugge  qualcosa
 
Qualcuno mi illumina .. ?

 Qualcuno mi illumina .. ?
 
buon pomeriggio, 
 
personalmente non mi è mai capitato un problema del genere, ad ogni modo provando a
fare una breve ricerca parrebbe un comportamento ampiamente segnalato.
 
ad esempio potresti provare a controllare se qui [1] ci sono info utili per
risolvere 
(anche se il comando nello specifico non è fgrep quello che conta è la procedura in
generale per poter risolvere).
 
[1]
https://qastack.it/unix/373718/rkhunter-gives-me-a-warning-for-usr-bin-lwp-request-what-should-i-do-debi
 
 
saluti.
 
***
◈  [WinterMute] @ [debian] «-» [bookworm | testing]  ◈
***
 


Può anche essere che il pacchetto fgrep non esista proprio.
Non ho seguito l'altra discussione... Su cosa sei? Fedora?
 
Lì ti dice solo che il file:
 
/usr/bin/fgrep
 
sarebbe stato sostituito da uno script...
Che riconosce nella fattispecie come uno script bash.
 
Ma semplicemente potrebbe essere che rkhunter (che non conosco)
vada a cercare in un suo database il file "fgrep" e a lui risulti
che quel file ad esempio avrebbe dovuto essere un eseguibile
binario... sto andando per ipotesi.
Magari sul tuo sistema invece fgrep è un qualche wrapper al binario
in questione ed ecco che ad rkhunter non tornano più i conti.
 
Cosa fare per togliersi il dubbio?
Verifica il file fgrep, andando a vedere a quale pacchetto appartiene.
 
Poi cerca informazioni sul pacchetto in questione e guarda se il
contenuto del pacchetto (scaricandolo dal repo ufficiale della tua
distribuzione) contiene effettivamente un file "fgrep" di tipo
script bash, o di tipo binario.
 
 
Come farei io su slackware:
 
:~$ grep fgrep /var/log/packages/*
/var/log/packages/grep-2.25-x86_64-1:bin/fgrep
/var/log/packages/grep-2.25-x86_64-1:usr/man/man1/fgrep.1.gz
/var/log/packages/gzip-1.8-x86_64-1:bin/zfgrep
/var/log/packages/texlive-extra-2020.200608-x86_64-1_SBo:usr/share/texmf-dist/tex/latex/proposal/dfg/dfgreporting.cls
 
 
Vedi?
fgrep su slackware è distribuito come parte del pacchetto "grep".
Occhio che sulla tua distro può non essere così:
Slackware in generale distribuisce pacchetti grossi con dentro
tanta roba, altre distribuzioni preferiscono suddividere il
pacchetto in tanti pacchettini più piccoli.
 
 
:~$ file /usr/bin/fgrep
/usr/bin/fgrep: symbolic link to ../../bin/fgrep
 
:~$ file /bin/fgrep
/bin/fgrep: POSIX shell script, ASCII text executable
 
Ok, anche da me è uno script bash, anzi è un link che
punta ad uno script bash...
Ndiamo a vedere l'originale, lo cerco con slackpkg o
slakfinder o con google, l'importante è che lo tiri giù
dal repository ufficiale.
Nel mio caso:
 
:~$ wget 
https://mirrors.slackware.com/slackware/slackware64-14.2/slackware64/a/grep-2.25-x86_64-1.txz
 
[...]
Lunghezza: 248680 (243K) [application/octet-stream]
Salvataggio in: "grep-2.25-x86_64-1.txz"
 
2021-10-15 15:28:31 (1,36 MB/s) - "grep-2.25-x86_64-1.txz" salvato [248680/248680]
--------------------
 
Ok a questo punto ho il pacchetto originale scarcato in locale, vado a
vedere cosa  contiene:
 
:~$ tar tvf grep-2.25-x86_64-1.txz |grep fgrep
-rwxr-xr-x root/root        28 2016-04-24 02:30 bin/fgrep
-rw-r--r-- root/root        44 2016-04-24 02:30 usr/man/man1/fgrep.1.gz
 
 
:~$ tar xvf grep-2.25-x86_64-1.txz bin/fgrep
bin/fgrep
 
 
:~$ file bin/fgrep
bin/fgrep: POSIX shell script, ASCII text executable
 
 
OK, quindi il file fgrep originale è anche lui uno script bash,
non un binario.
Per scrupolo si può andare a confrontare questo originale, con
quello installato sul sistema, confrontande l'hash con md5 ad
esempio:
 
:~$ md5sum bin/fgrep
3885488b9d1d10902c6b9c18e20bf952  bin/fgrep
 
:~$ md5sum /bin/fgrep
3885488b9d1d10902c6b9c18e20bf952  /bin/fgrep
 
Ok, coincidono!
Pertanto il file fgrep che ho sul sistema è uguale a quello del
repo ufficiale. Ne concludo che la lamentanza di "rkhunter" è
solo un falso positivo.
 
Tutto è bene quel che finisce bene!
 
:~$ rm -r bin grep-2.25-x86_64-1.txz

 mi da un warning su un pachetto che non ho ?
 
no, ti da un warning su un programma che hai, che evidentemente si 
aspetta binario e invece è uno script. lo vede come un potenziale oggetto 
sostituito.
 
andando a vedere:
 
 
❯ cat /usr/bin/fgrep
#!/usr/bin/sh
exec grep -F "$@"
 
 
direi è un warning che puoi serenamente ignorare.
 

 Verifica il file fgrep, andando a vedere a quale pacchetto appartiene.
root@ughettolinuxbox roberto]# locate fgrep
/root/.cache/tealdeer/tldr-master/pages/common/fgrep.md
/root/.cache/tealdeer/tldr-master/pages/linux/pdfgrep.md
/root/.cache/tealdeer/tldr-master/pages/osx/pdfgrep.md
/root/.cache/tealdeer/tldr-master/pages.zh/osx/pdfgrep.md
/usr/bin/bzfgrep
/usr/bin/fgrep
/usr/bin/xzfgrep
/usr/bin/zfgrep
Cut
 
probabilmente e' compreso in grep anche  qui' (almeno credo)
non so' come verificare ovviamente la dir packages non esiste  qua'
e non so' cosa la sostituisca ...
root@ughettolinuxbox log]# file /usr/bin/fgrep
/usr/bin/fgrep: a /usr/bin/sh script, ASCII text executable
[root@ughettolinuxbox log]#
 
il dubbio mi era venuto perche'
 
Warning: The command '/usr/bin/egrep' has been replaced by a script: 
/usr/bin/egrep: a /u
sr/bin/sh script, ASCII text executable
 
ma poi
[root@ughettolinuxbox log]#  rpm -V initscripts grep && echo OK
OK
[root@ughettolinuxbox log]#
 
Grazie delle delucidazioni ...
Ciao

 generale per poter risolvere).
Ciao Grazie
si come togliere quei warning lo avevo letto...
era come sempre la curiosita che i spinge perche'
perche' ...
Warning: The command '/usr/bin/egrep' has been replaced by a script: 
/usr/bin/egrep: a /u
sr/bin/sh script, ASCII text executable
 
ma poi
[root@ughettolinuxbox log]#  rpm -V initscripts grep && echo OK
OK
[root@ughettolinuxbox log]#
 
Ciao ri grazie
 
'

 direi è un warning che puoi serenamente ignorare.
 
Grazie anche a te
il cat mi da' lo stesso risultato
e comunque si puo' evitare di avere  quel warning ...
 
ma sapendo che sono un pozzo d' ingnioranza volevo  capire ..
  Ciao ri grazie

 [...]
 
buonasera, 
 
anche se non sono l'autore della discussione vorrei approfittarne per ringraziare
Joe per i suoi interventi che sono sempre interessanti ed esaustivi.


 OK
 
Sì credo proprio che hai fatto centro... Non ho ben capito cosa
centra "initscripts" ma in effetti il comando rpm -V fa più o meno
in una botta sola, quello che ho verificato io a mano coi comandi
che ho mostrato.
 
https://rikers.org/rpmbook/node33.html
 
 
In pratica il flag -V, --verify ecc, analizza il database rpm
che viene aggiornato ogni qual volta installi un programma via
rpm. L'analisi consiste anche nel confronto dell'md5sum tra i
files che trova sul sistema e l'md5sum corrispondente che per
quello stesso file è contenuto nel database rpm.
In pratica il file "fgrep" che hai sul sistema dovrebbe essere
uguale identico a quando lo hai installato, quindi non corrotto,
non modificato da eventuali software malevoli ecc ecc...

 evitare di avere  quel warning ...
 
non lo so, probabilmente ci sarà modo di escludere da qualche parte quel 
file dal controllo.
ad ogni modo come ti spiegavo questi non sono antivirus, vanno a cercare 
problemi che non avrai mai ignorando quelli che invece potresti avere. 
fedora ha sostituito (come vedi) il comando fgrep con uno script in cui 
lancia grep -F, che fa la stessa cosa. per il tipo di analisi che fa 
quello strumento ha senso che segnali quel file come punto di attenzione. 
sta poi a chi lo usa, supponendo che sappia cosa sta facendo, controllare 
che sia tutto a posto.
 

 non modificato da eventuali software malevoli ecc ecc...
 
 
P.s non uso google che mi sta' antipatico da i tempi in cui
compro 
dejaneuws.com
 per poi fare google group...
 
al di la di questo  quasi OT
ti ringrazio molto di avermi guidato in questo mio dubbio ...
ciao
 

 che sia tutto a posto.
 
Ciao
io non ho paura dei virus col PC non sto' facendo praticamente  nulla.
non ho piu' uno scipt mio , non navigo praticamente mai
(giusto il sito dell' ansa ...) non istallo praiticamente nulla che non 
sia del sistema faccio gli aggiornamenti e basta...
 
pero' se  c'e' qualcosa che non capisco (ben conoscendo i miei limiti)
sono curioso e cerco di capire ...
 
Dovrei fare  delle ricerche  web ? vero ma spesso brancolo cosi' nel 
buio che non so' cosa cercare ...
del resto vero che nel web probabilmente c'e' lo scibile umano ...
ma un news group consente un rapporto diretto con persone che
(ovvio se ne hanno voglia ) rispondono a domande su argomenti a loro ben
conosciuti magari perche' hanno gia' fatto quel percorso ...
e hanno voglia di condividere le loro conoscenze ..
 
Detto questo ti ringrazio
per le risposte
ciao
 
 
 

 compro 
dejaneuws.com
 per poi fare google group...
 
Usa un'altro motore, con duckduckgo trovi la stessa roba.
Ma cerca. Una volta sarebbe partito il caro vecchio RTFM,
che più o meno ci siamo sentiti tutti almeno una decina di
volte!  :)

 volte!  :)
 
infatti e' il motore che uso ... :-))
 
Ciao
ma mi perdo spesso tra il mare magnum delle informazioni ..
 

 ma mi perdo spesso tra il mare magnum delle informazioni ..
 
Macché... ti ho fatto l'esempio della mia ricerca, e postato
il primo risultato che salta fuori. Non c'è nessun mare magnum
in questo caso. Poi va be', non è un problema ripetere qui
le informazioni, ma far vedere anche come trovarle è sempre una
buona "canna da pesca". Sperando che la prossima volta si provi
a fare aanche qualche lancio magari!  :D
Ciao

 Ciao
 
Ciao nel ringraziarti nuovamente per le risposte,
devo dirti che sposo la tua teoria , e' vero tutto e' in rete ...
la logica mi farebbe pensare che il gruppo e' assolutamente inutile
ma forse sono io che sono fuori dal tempo,
22 anni orsono questo gruppo era cosi divertente che
qualcuno propose una RDF per it.comp.os.linux.cazzegggio
ma lo risposta fu' solo se gruppo moderato .
 
Detto questo con le ricerche in rete non ho nemmeno bisogno
di "guardare dal buio"  quindi elimino il gruppo.
 
Ciao

 buio che non so' cosa cercare ...
 
ma la curiosità va più che bene. solo che per soddisfarla bisogna saper 
porre le domande, perché se tu per primo non sai cosa vuoi sapere è 
difficile per google ma anche per le persone.
 
poi bisogna che le risposte non generino una catena di altre domande, non 
lo dico tanto per "pigrizia" nel rispondere ma per te, perché altrimenti 
non sei in grado di comprenderle. probabilmente nel voler affrontare un 
argomento hai saltato troppi passaggi. se provi ad usare uno strumento 
come rkhunter, senza sapere quali rischi analizza, quindi senza sapere 
minimamente come interpretare i risultati, soddisfare anche la curiosità 
è ai limiti dell'impossibile. alla fine gestire la sicurezza dei sistemi 
è un mestiere e non è un caso che esistano percorsi di certificazione per 
arrivarci. per esempio: adesso lui ti ha detto che ci sono dei file 
sospetti, posto che nel tuo caso sono degli evidenti falsi positivi ma 
volendo dilettarsi in una verifica servono delle basi, serve sapere 
*perché* li considera sospetti e quali sono strumenti e tecniche per 
proseguire l'analisi. il più semplice te l'ho mostrato, guardi il 
contenuto: però a quel punto se non sei in grado di comprendere che 'grep 
-F' è la stessa cosa di fgrep ti sei già fermato un'altra volta. ti 
mancano le basi.

 di "guardare dal buio"  quindi elimino il gruppo.
 
buon pomeriggio, 
 
mi permetto di intromettermi soltanto per dire che, personalmente, la trovo una
reazione un tantino eccessiva... 
è vero che online si trova in buona sostanza di tutto tuttavia rimane sempre utile
avere un "luogo" dove poter discutere e ragionare insieme sia di problemi che di
qualsiasi altro argomento (che sia legato al tema del gruppo s'intende).
 
my two cent... come si suol dire questi casi.
 
saluti e buona domenica.
