Forum Linux.debian/ubuntu Process en écoute sans pid

Posté par oau le 18 novembre 2015 à 14:14. Licence CC By‑SA.

Étiquettes :

nov.

2015

hello

je viens de voir sur ma debian jessie que j'ai un port ouvert en écoute tcp mais associé à aucun pid.

netstat -lntp
tcp        0      0 0.0.0.0:51149           0.0.0.0:*               LISTEN      -

quand je lui cause il me répond :

telnet 0.0.0.0 51149
Trying 0.0.0.0...
Connected to 0.0.0.0.
Escape character is '^]'.
Connection closed by foreign host.

mais in n'apparaît pas avec lsof :

lsof -i :51149

je pensais m'être fait infecté mais ni rkhunter ni chkrootkit ne trouve quoi que ce soit. J'ai filtré le port avec iptables mais il change à chaque reboot.

par contre sur une debian fraîchement installé je n'ai pas ça.

Une idée ?

merci pour votre aide.

oau

# essaie en root ou avec sudo

Posté par NeoX le 18 novembre 2015 à 14:22. Évalué à 2.

netstat -lntp
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:45422           0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:38002           0.0.0.0:*               LISTEN      -               
tcp        0      0 127.0.0.1:5939          0.0.0.0:*               LISTEN      -               
tcp        0      0 127.0.0.1:20245         0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -               
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      -               
tcp        0      0 127.0.0.1:7001          0.0.0.0:*               LISTEN      2314/nxnode.bin 
tcp        0      0 0.0.0.0:4000            0.0.0.0:*               LISTEN      -               
tcp        0      0 127.0.0.1:12001         0.0.0.0:*               LISTEN      2314/nxnode.bin 
tcp        0      0 0.0.0.0:2049            0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:48520           0.0.0.0:*               LISTEN      -               
tcp        0      0 127.0.0.1:25001         0.0.0.0:*               LISTEN      2497/nxclient.bin
tcp        0      0 0.0.0.0:49193           0.0.0.0:*               LISTEN      -

alors qu'en SUDO on a plus d'info

sudo netstat -lntp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:45422           0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      816/rpcbind     
tcp        0      0 0.0.0.0:38002           0.0.0.0:*               LISTEN      1035/rpc.mountd 
tcp        0      0 127.0.0.1:5939          0.0.0.0:*               LISTEN      1711/teamviewerd
tcp        0      0 127.0.0.1:20245         0.0.0.0:*               LISTEN      1201/nxserver.bin
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1005/sshd       
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      3858/cupsd      
tcp        0      0 127.0.0.1:7001          0.0.0.0:*               LISTEN      2314/nxnode.bin 
tcp        0      0 0.0.0.0:4000            0.0.0.0:*               LISTEN      1402/nxd        
tcp        0      0 127.0.0.1:12001         0.0.0.0:*               LISTEN      2314/nxnode.bin 
tcp        0      0 0.0.0.0:2049            0.0.0.0:*               LISTEN      -               
tcp        0      0 0.0.0.0:48520           0.0.0.0:*               LISTEN      1035/rpc.mountd 
tcp        0      0 127.0.0.1:25001         0.0.0.0:*               LISTEN      2497/nxclient.bin
tcp        0      0 0.0.0.0:49193           0.0.0.0:*               LISTEN      1035/rpc.mountd

[^] # Re: essaie en root ou avec sudo

Posté par oau le 18 novembre 2015 à 15:03. Évalué à 1.

oui bien sur tout les commandes sont en root. Mais nlienard à raison on a trouvé c'est le client NFS. Mais ca ne me dit pourquoi le client nfs ouvre un port qui n'est lié à aucun process
- [^] # Re: essaie en root ou avec sudo
  
  Posté par nlienard le 18 novembre 2015 à 15:52. Évalué à -1.
  
  si t'étais sous FreeBSD; t'aurais pas ce genre de souci.
  FREEBSD FOREVER !
  
  /troll
- [^] # Re: essaie en root ou avec sudo
  
  Posté par moulator42 le 18 novembre 2015 à 16:57. Évalué à 1. Dernière modification le 18 novembre 2015 à 16:59.
  
  Supprimé
- [^] # Re: essaie en root ou avec sudo
  
  Posté par Cyril Brulebois (site web personnel) le 18 novembre 2015 à 23:13. Évalué à 5.
  
  Cela ressemble à une « NFSv4 callback socket », ça semble implémenté dans le noyau Linux (cf. fs/nfs/callback.c), ce qui expliquerait l'absence de PID.
  
  Un paramètre clientaddr= est documenté dans nfs(5), ce qui semblerait correspondre.
  
  Debian Consultant @ DEBAMAX

# NFS

Posté par nlienard le 18 novembre 2015 à 14:24. Évalué à 4.

C'est ton client NFS !

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.