什么是 vmlinuz，我为什么关心？

Question

我刚刚在我们拥有的少数 Ubuntu 机器之一上收到了一个我以前从未见过的网络警报：

The following monitoring trigger has been fired:

/vmlinuz has been changed on server XXXXX: PROBLEM
2012.09.19 06:24:33
Trigger key: vfs.file.cksum[/vmlinuz]
Value: 3397367448
Host: XXXXX

的校验和vmlinuz改变了。我从维基百科看到这与内核有关。

我应该关心它的校验和已经改变了吗？这个特定的服务器确实运行 Wordpress，它以其 3rd 方插件中的漏洞而闻名，所以我倾向于非常认真地对待它的警报。

---

我得出的结论是该服务器已被入侵。比抱歉更安全，/var/log/apache2/access.log0 字节也是如此，并且那里应该有一些（不多，但有点）数据，并且它显然看起来像是某种东西（最有可能是机器人）覆盖了他们的踪迹。是时候拿出昨晚的备份了:)

Answer 1

这是压缩的内核，您应该关心它是否在您不知情的情况下发生了更改，因为如果内核被替换，您可能会受到任何攻击。这可能是一个正当的理由，但除非您确定，否则您不应该相信更改后的内核。

Answer 2

I see from Wikipedia that this has something to do with the kernel

这是轻描淡写：vmlinuz 文件是内核本身。这个文件在你启动服务器时被加载，然后它被解压缩（因此是“z”），然后启动。

如果您重新编译或安装了新内核，则无需担心。如果您没有这样做，请仔细查看此文件，或将其替换为已知好的版本。

将此文件chattr 设为只读，并在重新启动之前禁止 root 更改此文件也是一个好主意。

Answer 3

它是不是有做与你的内核，它是你的内核。如果您重新启动，并且该文件已损坏，那么众所周知的狗屎将会击中众所周知的粉丝。

您在消息中提到的时间有内核更新吗？