# Fichier conf perdu et intégrité **URL:** \ **Category:** Support Debian\ **Tags:** securité\ **Created:** [Août 13, 2025, 6:39 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419 "2025-08-13T06:39:11Z")\ **Posts on this page:** 14\ **Page:** 1
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 6:39 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/1 "2025-08-13T06:39:11Z")
Bonjour Ayant installé auditd, AIDE et chrootkit. Ayant essayé d’utiliser pam\_mount et effacé par erreur pam\_mount.conf.xml j’ai à chaque connexion sudo le message : I/O warning : failed to load external entity « /etc/security/pam\_mount.conf.xml » (rdconf1.c:404): libxml detected a syntax error in /etc/security/pam\_mount.conf.xml De plus AIDE a tourné toute la nuit pour se configurer. Ce matin auditd me renvoie les logs: 4. 13/08/2025 02:38:30 ANOM\_RBAC\_INTEGRITY\_FAIL /usr/bin/aide pts/2 user 985 5. 13/08/2025 05:13:29 ANOM\_RBAC\_INTEGRITY\_FAIL /usr/bin/aide ? ? unset 1046 Qu’en pensez vous? ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Août 13, 2025, 8:44 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/2 "2025-08-13T08:44:59Z")
libpam\_mount c’est pour monter une partition à la volée lors de l’authentification d’un user. Pour aide, comment as-tu fait? RBAC c’est un problème de Role Base Access Control. Il faut être root pour manipuler aide. et avoir fait un aideinit bien sur (j’imagine que c’est ca qui a pris du temps), ce qui est normal). Pour alléger AIDE tu peux desactiver cetains fichiers de conf si tu n’utilises pas ce qui correspond; par exemple, inutile d’avoir 31\_aide\_postfix si aucun postfix n’est installé. ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 8:51 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/3 "2025-08-13T08:51:47Z")
Ou j’ai fait un sudo aide --init --config /fichier /pathto/fichier-config Sans le sudo cela ne marchait pas. Mai je pense que j’ai fait un premier aide-init pas fini, car j’ai cru qu’il avit planté et je l’ai arrêté… pas bonne idée. Puis je l’ai refait et laissé la nuit. C’est peut être cela qui a été notifié. pour libpam\_mout, oui j’ai voulu l’essayer, mais je ne m’en sers plus. dois je l’enlever? Et j’ai effacé par mégarde le fichier de config. cela se recrée? ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Août 13, 2025, 9:17 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/4 "2025-08-13T09:17:29Z")
si tu ne l’utilise pas, desinstalle le, c’est mieux. Vérifie dans les fichiers /etc/pam.d que pam\_mount n’y soit plus présent. ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 11:55 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/5 "2025-08-13T11:55:22Z")
J’ai aussi fait tourner RK Hunter j’ai quelques warning ``` Warning: Suspicious file types found in /dev: [13:26:41] /dev/shm/3adb8fd6b7d370: data [13:26:41] /dev/shm/a9b874533b801aec: data [13:26:41] /dev/shm/ec302538f0fb028: data [13:26:41] Checking for hidden files and directories [Warning] [13:26:41] Warning: Hidden directory found: /etc/.java ``` ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Août 13, 2025, 11:59 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/6 "2025-08-13T11:59:37Z")
Pour voir qui utilise ces fichiers, regarde avec lsof en filtrant le nom du fichier ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 12:17 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/7 "2025-08-13T12:17:13Z")
la première est liée à mon installation de Matlab ``` lsof: WARNING: can't stat() fuse.portal file system /run/user/1001/doc Output information may be incomplete. COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME MathWorks 3596 user mem REG 0,26 124 5 /dev/shm/3adb8fd6b7d370 MathWorks 3596 user 38u REG 0,26 124 5 /dev/shm/3adb8fd6b7d370 ``` Pour les autres c’est vide: ``` lsof: WARNING: can't stat() fuse.portal file system /run/user/1001/doc Output information may be incomplete. ``` ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 12:18 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/8 "2025-08-13T12:18:10Z")
Tout a l’heure j’avais laissé OnlyOffice ouvert et j’avais une erreur aussi d’utilisation de la mémoire ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 1:00 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/9 "2025-08-13T13:00:27Z")
Je me demande deux choses. J’ai réglé ufw sur allow outgoing, deny incoming Est ce que je dois faire un deny outgoing et ouvrir port par port? Est ce que je peux surveiller le trafic réseau pour voir quel programme tente de sortir sans mon accord ? Juste pour savoir si les logiciels que j’installe ne transfèrent pas des données vers l’extérieur ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Août 13, 2025, 2:00 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/10 "2025-08-13T14:00:18Z")
de toute façon /dev/shm ce n’est que du temporaire. les fichiers disparaissent au redémarrage. ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 2:04 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/11 "2025-08-13T14:04:21Z")
OK. J’ai aussi installé CHrootkit et j’ai Searching for suspicious files and dirs… WARNING ``` WARNING: The following suspicious files and directories were found: /usr/lib/ruby/gems/3.1.0/gems/typeprof-0.21.2/vscode/.vscodeignore /usr/lib/ruby/gems/3.1.0/gems/typeprof-0.21.2/vscode/.gitignore /usr/lib/ruby/gems/3.1.0/gems/typeprof-0.21.2/vscode/.vscode /usr/lib/ruby/vendor_ruby/rubygems/tsort/.document /usr/lib/ruby/vendor_ruby/rubygems/optparse/.document /usr/lib/ruby/vendor_ruby/rubygems/ssl_certs/.document /usr/lib/jvm/.java-1.17.0-openjdk-amd64.jinfo /usr/lib/python3/dist-packages/numpy/core/include/numpy/.doxyfile /usr/lib/python3/dist-packages/numpy/f2py/tests/src/assumed_shape/.f2py_f2cmap /usr/lib/python3/dist-packages/numpy/f2py/tests/src/f2cmap/.f2py_f2cmap /usr/lib/python3/dist-packages/matplotlib/backends/web_backend/.prettierignore /usr/lib/python3/dist-packages/matplotlib/backends/web_backend/.eslintrc.js /usr/lib/python3/dist-packages/matplotlib/backends/web_backend/.prettierrc /usr/lib/python3/dist-packages/matplotlib/tests/baseline_images/.keep /usr/lib/python3/dist-packages/matplotlib/tests/tinypages/.gitignore /usr/lib/python3/dist-packages/matplotlib/tests/tinypages/_static/.gitignore ``` et ``` WARNING: Output from ifpromisc: lo: not promisc and no packet sniffer sockets wlp2s0: PACKET SNIFFER(/usr/sbin/NetworkManager[1056], /usr/sbin/NetworkManager[1056], /usr/sbin/wpa_supplicant[1299]) ``` et ``` Checking `bindshell'... WARNING WARNING: Potential bindshell installed: infected ports: 4000 ``` Je vais regarder sur le web a quoi cela correspond, probablement des faux positifs ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 2:11 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/12 "2025-08-13T14:11:48Z")
> [@Anonymous23](#): > > `WARNING: Potential bindshell installed: infected ports: 4000` Celle ci est opérée par le programme « nx » qui pourrait être lié à mon installation de Nomachine ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Août 13, 2025, 2:17 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/13 "2025-08-13T14:17:55Z")
D’un autre coté, les programme comme nomachine sont toujours des risques de sécurité. En premier lieu parce que c’est propriétaire, ensuite parce qu’il va être nécessaire de faire du X11Forwarding sur le SSH, si tu utilise du SSH. Ce type de soft ne devrait pas être utilisé en dehors d’un VPN ou d’un tunnel pour ce ui est des condiération de sécurité. Donc je ne suis pas surpris que chkrootkit le mentionne. . ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Août 13, 2025, 2:23 UTC](https://www.debian-fr.org/t/fichier-conf-perdu-et-integrite/91419/14 "2025-08-13T14:23:25Z")
Oui je suis bien conscient que ces programmes propriétaires ont des comportements peu amicaux. Malheureusement c’est ce qui a été choisi la ou je suis pour notre serveur de calcul. La pour le coup il y a un informaticien qui s’en occupe et cela doit être plutôt bien fait coté serveur. Mais par contre nous n’avons pas de VPN J’envisage aussi un jour de me prendre par la main et passer mes programmes de Matlab sous Python car Gnu Octave m’est insuffisant.