Forum Linux.debian/ubuntu Process en écoute sans pid

Posté par oau le 18 novembre 2015 à 14:14. Licence CC By‐SA.

Étiquettes :

debian

nov.

2015

hello

je viens de voir sur ma debian jessie que j'ai un port ouvert en écoute tcp mais associé à aucun pid.

netstat -lntp
tcp 0 0 0.0.0.0:51149 0.0.0.0:* LISTEN -

quand je lui cause il me répond :

telnet 0.0.0.0 51149
Trying 0.0.0.0...
Connected to 0.0.0.0.
Escape character is '^]'.
Connection closed by foreign host.

mais in n'apparaît pas avec lsof :

lsof -i :51149

je pensais m'être fait infecté mais ni rkhunter ni chkrootkit ne trouve quoi que ce soit. J'ai filtré le port avec iptables mais il change à chaque reboot.

par contre sur une debian fraîchement installé je n'ai pas ça.

Une idée ?

merci pour votre aide.

oau

# essaie en root ou avec sudo

Posté par NeoX le 18 novembre 2015 à 14:22. Évalué à 2.

netstat -lntp
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:45422 0.0.0.0:* LISTEN - 
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN - 
tcp 0 0 0.0.0.0:38002 0.0.0.0:* LISTEN - 
tcp 0 0 127.0.0.1:5939 0.0.0.0:* LISTEN - 
tcp 0 0 127.0.0.1:20245 0.0.0.0:* LISTEN - 
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN - 
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN - 
tcp 0 0 127.0.0.1:7001 0.0.0.0:* LISTEN 2314/nxnode.bin 
tcp 0 0 0.0.0.0:4000 0.0.0.0:* LISTEN - 
tcp 0 0 127.0.0.1:12001 0.0.0.0:* LISTEN 2314/nxnode.bin 
tcp 0 0 0.0.0.0:2049 0.0.0.0:* LISTEN - 
tcp 0 0 0.0.0.0:48520 0.0.0.0:* LISTEN - 
tcp 0 0 127.0.0.1:25001 0.0.0.0:* LISTEN 2497/nxclient.bin
tcp 0 0 0.0.0.0:49193 0.0.0.0:* LISTEN -

alors qu'en SUDO on a plus d'info

sudo netstat -lntp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:45422 0.0.0.0:* LISTEN - 
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN 816/rpcbind 
tcp 0 0 0.0.0.0:38002 0.0.0.0:* LISTEN 1035/rpc.mountd 
tcp 0 0 127.0.0.1:5939 0.0.0.0:* LISTEN 1711/teamviewerd
tcp 0 0 127.0.0.1:20245 0.0.0.0:* LISTEN 1201/nxserver.bin
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1005/sshd 
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 3858/cupsd 
tcp 0 0 127.0.0.1:7001 0.0.0.0:* LISTEN 2314/nxnode.bin 
tcp 0 0 0.0.0.0:4000 0.0.0.0:* LISTEN 1402/nxd 
tcp 0 0 127.0.0.1:12001 0.0.0.0:* LISTEN 2314/nxnode.bin 
tcp 0 0 0.0.0.0:2049 0.0.0.0:* LISTEN - 
tcp 0 0 0.0.0.0:48520 0.0.0.0:* LISTEN 1035/rpc.mountd 
tcp 0 0 127.0.0.1:25001 0.0.0.0:* LISTEN 2497/nxclient.bin
tcp 0 0 0.0.0.0:49193 0.0.0.0:* LISTEN 1035/rpc.mountd

[^] # Re: essaie en root ou avec sudo

Posté par oau le 18 novembre 2015 à 15:03. Évalué à 1.

oui bien sur tout les commandes sont en root. Mais nlienard à raison on a trouvé c'est le client NFS. Mais ca ne me dit pourquoi le client nfs ouvre un port qui n'est lié à aucun process
- [^] # Re: essaie en root ou avec sudo
  
  Posté par nlienard le 18 novembre 2015 à 15:52. Évalué à -1.
  
  si t'étais sous FreeBSD; t'aurais pas ce genre de souci.
  FREEBSD FOREVER !
  
  /troll
- [^] # Re: essaie en root ou avec sudo
  
  Posté par moulator42 le 18 novembre 2015 à 16:57. Évalué à 1. Dernière modification le 18 novembre 2015 à 16:59.
  
  Supprimé
- [^] # Re: essaie en root ou avec sudo
  
  Posté par Cyril Brulebois (site web personnel) le 18 novembre 2015 à 23:13. Évalué à 5.
  
  Cela ressemble à une « NFSv4 callback socket », ça semble implémenté dans le noyau Linux (cf. fs/nfs/callback.c), ce qui expliquerait l'absence de PID.
  
  Un paramètre clientaddr= est documenté dans nfs(5), ce qui semblerait correspondre.
  
  Debian Consultant @ DEBAMAX

# NFS

Posté par nlienard le 18 novembre 2015 à 14:24. Évalué à 4.

C'est ton client NFS !

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.