rkhunter：“可疑的共享内存段”

Question

我这里有一个新安装的带有 CentOS7 的服务器，并在上面安装了 GroupOffice。安装 rkhunter 并开始 rkhunter 检查后，我得到：

[09:58:15] Suspicious Shared Memory segments
[09:58:15]   Process:     PID: 1769    Owner: apache         [ Found ]
[09:58:15]   Suspicious Shared Memory segments               [ Warning ]

有人知道“可疑的共享内存段”是什么意思吗？我如何检查这是否是误报？如果是这样：我如何将这个错误列入白名单？

编辑

如果我尝试使用 ps 命令列出进程，则 PID 为 1769 的进程不存在：

# ps -p 1769
  PID TTY          TIME CMD
# ps aux | grep 1769
root     12777  0.0  0.0 112660   960 pts/0    S+   10:25   0:00 grep --color=auto 1769
# ps aux | grep apache
apache   12606  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12607  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12608  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12609  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
apache   12610  0.0  0.5 537092 10224 ?        S    10:15   0:00 /usr/sbin/httpd -DFOREGROUND
root     12779  0.0  0.0 112660   960 pts/0    S+   10:26   0:00 grep --color=auto apache

Answer 1

来自v 1.4.4的变更日志：

添加了 ALLOWIPCPROC 配置文件选项。这可用于使用共享内存段（在“ipc_shared_mem”检查期间发现）将可疑进程列入白名单。

所以白名单使用以下

ALLOWIPCPROC=path/to/service

例如

ALLOWIPCPROC=/usr/sbin/httpd

Answer 2

共享内存段的概念解释如下：http : //www.csl.mtu.edu/cs4411.ck/www/NOTES/process/shm/what-is-shm.html。顾名思义，共享内存段是一个可以被多个进程共享的内存段。Apache Web 服务器进程，即文件：/usr/sbin/httpd使用共享内存。它使用共享内存来在 Apache 服务器工作人员之间共享数据。对此进行了解释：Apache HTTP Server 中的共享对象缓存

访问共享内存存在安全风险，因为它允许一个进程读取并可能修改另一个进程使用的内存。应该只允许受信任的进程访问共享内存。Rkhunter 安全扫描有点严格，因为它认为可信进程/usr/sbin/httpd是可疑的。

可以按照 Plesk 论坛上的建议安全地忽略此警告：https : //support.plesk.com/hc/en-us/articles/115001160954-What-Watchdog-warnings-can-be-safely-ignored-on-a -Plesk 服务器。

要忽略警告，应将访问共享内存段的进程的路径添加到rkhunter.conf 配置文件中的ALLOWIPCPROC选项。在这种情况下，进程的路径是：/usr/sbin/httpd。

rkhunter.conf 文件包含以下关于ALLOWIPCPROC选项的文档：

允许指定的进程路径名使用共享内存段。此选项可以指定多次，并且可以使用通配符。默认值为空字符串。