主題: [問題]系統執行指令的時候出現Segmentation fault

[jaymsa]

各位學長好:
小弟遇到一個怪問題,當小弟用Putty登入系統,切換成root然後執行df -h,之前都正常的顯示HD容量訊息,但今天卻出現Segmentation fault,
之後又試了幾個指令ls,ll...等都一樣出現Segmentation fault.
此訊息好像是說什麼記憶體錯誤?但小弟到主機前登入root就不會有出現這樣的情形,原先懷疑putty改到設定,但小弟可以確定沒有,且之前使用一切正常,換一台電腦灌putty也是一樣,且我如果用別的帳號登入就可以正常執行,但換到root就有問題,出現Segmentation fault,我隨便重啟一個服務,也是出現類似的訊息,請問這是什麼原因造成?
可有辦法解決??請各位前輩幫忙!!

[twu2]

與 putty 沒關係.
主機有問題吧, 重開後如果還有的話, 那麼硬體有問題的可能性比較大.

[jaymsa]

與 putty 沒關係.
主機有問題吧, 重開後如果還有的話, 那麼硬體有問題的可能性比較大.

是的....我已經重啟過了,狀況還是一樣!!
但是如果說硬體造成,為什麼只有遠端登入才有問題,本機登入就不會,這是小弟比較納悶的問題....?

我試著重啟SMB發生這樣的訊息:
etc/init.d/functions: line 156: 21742 蝔鲳?閮咞图擃鮴?畾菟辩隤?  rm -f /var/run/$base.pid

/etc/init.d/functions: line 156: 21746 蝔鲳?閮咞图擃鮴?畾菟辩隤?  rm -f /var/run/$base.pid
/etc/init.d/smb: line 56: 21748 蝔鲳?閮咞图擃鮴?畾菟辩隤?  rm -f /var/lock/subsys/smb

Sorry中間亂碼我解不開....

[millhost]

我數年前都有這個現象出現過，有師兄說是被人Hack或種了rootkit，有些labrary 被改了。
你看看有沒有些怪port 開了，我是有的，用lsof 看見一些其怪的檔案。
那時沒有深究那是什麼檔案或是什麼rootkit，我直接重新安裝。

[jaymsa]

我數年前都有這個現象出現過，有師兄說是被人Hack或種了rootkit，有些labrary 被改了。
你看看有沒有些怪port 開了，我是有的，用lsof 看見一些其怪的檔案。
那時沒有深究那是什麼檔案或是什麼rootkit，我直接重新安裝。

您好:
我也覺得奇怪,就只有遠端登 入會有此現象,請問一下lsof指令是做什麼用的?
在發生此狀況的前些時候,是有被做些修改,但我不清楚是被改了哪些,又影響到什麼!?

[harrier]

我數年前都有這個現象出現過，有師兄說是被人Hack或種了rootkit，有些labrary 被改了。
你看看有沒有些怪port 開了，我是有的，用lsof 看見一些其怪的檔案。
那時沒有深究那是什麼檔案或是什麼rootkit，我直接重新安裝。

您好:
我也覺得奇怪,就只有遠端登 入會有此現象,請問一下lsof指令是做什麼用的?
在發生此狀況的前些時候,是有被做些修改,但我不清楚是被改了哪些,又影響到什麼!?

lsof = list open file
看有哪些檔案正被開啟/使用中。

如果常用指令都出問題，確實需留意是否被殖入 rootkit。
rootkit 能隱藏木馬的蹤跡，例如你用 ps -efx 看不到正在執行中的木馬 process，
你用 netstat -an 看不到木馬正在用的 port..etc。

[jaymsa]

可是如果是這樣不是應該在本機也有此現象???
但本機沒有只有遠端登入的root才會
我用lsof將資料抓出來請各位前輩看看,因為不能超過512k我分兩次發...Sorry
檔案1[attachment=1]

[jaymsa]

檔案2[attachment=1]

[jaymsa]

大家好:
我今天執行crontab -e
出現的訊息是crontab: "/bin/vi" killed; signal 11 (no core dumped)??
請問這是甚麼原因?

[twu2]

signal 11 就是 segmentation fault.
建議重裝系統吧.

[Darkhero]

這種情況很常常發生在系統指令已經被替換掉的情況下....

建議還是重裝吧...

[jaymsa]

感謝各位前輩...
那這是被駭嗎???
還是有其他可能??
我如果將需要的東西被分到新的電腦,會不會也被植入後門?

[chihwu]

#lsattr /bin/ls
------------- /bin/ls

rpm -qf /bin/ls
coreutils-5.2.1-31.7

如果用 lsattr 查詢 /bin/ls 這個檔案的屬性，如上所示，沒有出現任何設定，那就安全一點，可以的話，把那些相關套件再裝一次就可以解決。

如果出現 i  或 s 這種字元， 肯定被駭了。
可以看一下, ps  指令出現的東西和 /proc 的實際內容有一些出入。
我猜你的版本很舊了吧!!
 

[jaymsa]

請問:
lsattr是做什麼的指令?
我執行結果如下:
suS-iadAc---- /bin/ls
不過現在ls正常,df不正常!!

[chihwu]

1. 查看檔案屬性的指令， 詳細請用 man 。
2. 如果想練功，可以找出被塞程式的地方， 很可能是 /dev ， 利用  du -h --max-depth=1 就可以找出可疑的目錄。
    再利用 rpm -V  查詢套件被更改的情形， 也可能需要用到 setattr 把那些被更改過的檔案恢復屬性， 否則它們連刪都刪
    不掉。
3. 如果覺得麻煩，資料也都備份了， 那就像前面的前輩所說的，重灌吧!!

[jaymsa]

1. 查看檔案屬性的指令， 詳細請用 man 。
2. 如果想練功，可以找出被塞程式的地方， 很可能是 /dev ， 利用  du -h --max-depth=1 就可以找出可疑的目錄。
    再利用 rpm -V  查詢套件被更改的情形， 也可能需要用到 setattr 把那些被更改過的檔案恢復屬性， 否則它們連刪都刪
    不掉。
3. 如果覺得麻煩，資料也都備份了， 那就像前面的前輩所說的，重灌吧!!

不好意思小弟不才....請問那為什麼同樣的指令只有遠端不行,我到本機前就可以執行,雖然某些指令還是無法使用,如locate.
我有看到我的crontab被清掉換上一行指令,應該是去執行script的,但我到那目錄下看沒看到任何東西,我就把他全砍了!

[harrier]

不好意思小弟不才....請問那為什麼同樣的指令只有遠端不行,我到本機前就可以執行,雖然某些指令還是無法使用,如locate.
我有看到我的crontab被清掉換上一行指令,應該是去執行script的,但我到那目錄下看沒看到任何東西,我就把他全砍了!

遠端登入和直接 console 走的路還是不一樣...
不過系統被破了沒啥好研究 rootkit 的相容度問題，除非你朝 hacker or cracker 這方面走～
光刪檔案沒有用，因為對方也會知道你砍了他的東西，如果門沒重新換個鎖關好，對方很快又會找上門。