{"id":11354,"date":"2012-03-18T18:44:31","date_gmt":"2012-03-18T17:44:31","guid":{"rendered":"https:\/\/www.saasweb.agency\/blog\/comment-verifier-facilement-lintegrite-des-fichiers-installes-sur-un-systeme-debian\/"},"modified":"2026-10-27T13:30:03","modified_gmt":"2026-10-27T12:30:03","slug":"comment-verifier-facilement-lintegrite-des-fichiers-installes-sur-un-systeme-debian","status":"publish","type":"post","link":"https:\/\/www.saasweb.agency\/fr\/blog\/comment-verifier-facilement-lintegrite-des-fichiers-installes-sur-un-systeme-debian\/","title":{"rendered":"Comment v\u00e9rifier facilement l\u2019int\u00e9grit\u00e9 des fichiers install\u00e9s sur un syst\u00e8me Debian ?"},"content":{"rendered":"

\"\"<\/a><\/p>\n

Lorsqu\u2019on utilise des outils de surveillance tels que tripwire<\/em> ou rkhunter<\/em> pour surveiller les modifications des fichiers install\u00e9s, on rencontre le probl\u00e8me suivant : ces outils ne permettent pas de d\u00e9terminer si les fichiers ont \u00e9t\u00e9 modifi\u00e9s par une mise \u00e0 jour r\u00e9guli\u00e8re d\u2019un paquet ou alt\u00e9r\u00e9s par une personne non autoris\u00e9e.<\/p>\n

Si, par exemple, rkhunter<\/em> signale que le fichier \/usr\/bin\/ldd<\/em> a \u00e9t\u00e9 modifi\u00e9, il faut v\u00e9rifier manuellement si la somme de contr\u00f4le du fichier correspond \u00e0 la version la plus r\u00e9cente du paquet Debian.<\/p>\n

Il existe un outil nomm\u00e9 debsums<\/strong> qui facilite cette t\u00e2che. L\u2019installation se fait avec : <\/p>\n

# apt-get install debsums<\/div>\n

Une fois l\u2019outil install\u00e9, on peut effectuer la v\u00e9rification au niveau du paquet :<\/p>\n

# debsums file
\n\/usr\/bin\/file OK
\n\/usr\/share\/bug\/file\/control OK
\n\/usr\/share\/bug\/file\/presubj OK
\n\/usr\/share\/doc\/file\/README.Debian OK
\n\/usr\/share\/doc\/file\/README.gz OK
\n\/usr\/share\/doc\/file\/changelog.Debian.gz OK
\n\/usr\/share\/doc\/file\/changelog.gz OK
\n\/usr\/share\/doc\/file\/copyright OK
\n\/usr\/share\/lintian\/overrides\/file OK
\n\/usr\/share\/man\/man1\/file.1.gz OK<\/div>\n

mais pas au niveau du fichier :<\/p>\n

# debsums \/usr\/bin\/ldd
\ndebsums: invalid package name ‘\/usr\/bin\/ldd’<\/div>\n

Il faut d\u2019abord d\u00e9terminer \u00e0 quel paquet appartient le fichier \/usr\/bin\/ldd.<\/p>\n

# dpkg -S \/usr\/bin\/ldd
\nlibc-bin: \/usr\/bin\/ldd<\/div>\n

Afin de ne pas avoir \u00e0 effectuer cette recherche \u00e0 chaque fois, j\u2019ai \u00e9crit un petit script shell qui se charge de cette t\u00e2che et appelle debsums avec les r\u00e9sultats obtenus :<\/p>\n

#!\/bin\/bash
\nEC=0
\nPKGS=$(dpkg -S \u00ab\u00a0$@\u00a0\u00bb | awk -F’:’ ‘{print $1}’ | sed -e ‘s\/, \/
\n\/g’ | sort | uniq)
\nfor i in $PKGS; do
\ndebsums \u00ab\u00a0$i\u00a0\u00bb | grep -v OK
\ndec=$PIPESTATUS
\necho -n \u00ab\u00a0=== Package ‘$i’ : \u00a0\u00bb
\nif [ $dec -eq 0 ]; then echo OK; else echo MODIFIED; EC=$dec; fi
\ndone
\nexit $EC<\/div>\n

Dans cet exemple, j\u2019ai nomm\u00e9 le script check-inst.sh. Son utilisation est simple : <\/p>\n

# .\/check-inst.sh \/usr\/bin\/ldd
\n=== Package ‘libc-bin’ : OK<\/div>\n

On peut appeler le script avec plusieurs noms de fichiers :<\/p>\n

# .\/check-inst.sh \/usr\/bin\/file \/usr\/bin\/ldd
\n=== Package ‘file’ : OK
\n=== Package ‘libc-bin’ : OK<\/div>\n

Si l\u2019on n\u2019utilise pas de chemin absolu, on obtient des r\u00e9sultats de recherche pour les paquets install\u00e9s :<\/p>\n

# .\/check-inst.sh apache2
\n=== Package ‘apache2’ : OK
\n=== Package ‘apache2.2-bin’ : OK
\n=== Package ‘apache2.2-common’ : OK
\n=== Package ‘apache2-doc’ : OK
\n=== Package ‘apache2-mpm-prefork’ : OK
\n=== Package ‘apache2-suexec’ : OK
\n=== Package ‘apache2-utils’ : OK
\n=== Package ‘bash-completion’ : OK
\n=== Package ‘libapache2-mod-fcgid’ : OK
\n=== Package ‘libapache2-mod-php5’ : OK
\n=== Package ‘libapache2-mod-ruby’ : OK
\n=== Package ‘libapache2-mod-suphp’ : OK<\/div>\n

Si les r\u00e9sultats sont OK, tu peux mettre \u00e0 jour ton outil de surveillance en toute tranquillit\u00e9. Par exemple, pour rkhunter : <\/p>\n

# rkhunter –propupd –update<\/div>\n

Voici un exemple de sortie affichant les fichiers modifi\u00e9s par l\u2019utilisateur :<\/p>\n

# .\/check-inst.sh \/usr\/bin\/pear
\n\/usr\/bin\/pear FAILED
\n\/usr\/bin\/peardev FAILED
\n\/usr\/bin\/pecl FAILED
\n…
\n\/usr\/share\/php\/pearcmd.php FAILED
\n\/usr\/share\/php\/peclcmd.php FAILED
\n=== Package ‘php-pear’ : MODIFIED<\/div>\n

Le script renvoie le code de sortie 0<\/strong> si toutes les v\u00e9rifications ont r\u00e9ussi, sinon le code d\u2019erreur de la premi\u00e8re v\u00e9rification ayant \u00e9chou\u00e9. Cela est utile lorsqu\u2019on souhaite d\u2019abord conna\u00eetre uniquement le code de sortie et consulter les r\u00e9sultats d\u00e9taill\u00e9s dans un fichier journal. <\/p>\n

Amuse-toi bien avec tes essais
\nC.<\/p>\n","protected":false},"excerpt":{"rendered":"

Lorsqu\u2019on utilise des outils de surveillance tels que tripwire ou rkhunter pour surveiller les modifications des fichiers install\u00e9s, on rencontre le probl\u00e8me suivant : ces outils ne permettent pas de d\u00e9terminer si les fichiers ont \u00e9t\u00e9 modifi\u00e9s par une mise \u00e0 jour r\u00e9guli\u00e8re d\u2019un paquet ou alt\u00e9r\u00e9s par une personne non autoris\u00e9e. Si, par exemple, \u2026<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[924,816],"tags":[991,1741,994,1089,1087,1459,1002,990,2101,1073,1207],"class_list":["post-11354","post","type-post","status-publish","format-standard","hentry","category-programmation","category-tutoriel","tag-administration","tag-debian","tag-declencheur","tag-dpkg","tag-gestion-des-paquets","tag-integrite","tag-outil-de-monitoring","tag-rkhunter","tag-somme-de-controle","tag-sommes-de-debogage","tag-surveillance"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/posts\/11354","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/comments?post=11354"}],"version-history":[{"count":1,"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/posts\/11354\/revisions"}],"predecessor-version":[{"id":11883,"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/posts\/11354\/revisions\/11883"}],"wp:attachment":[{"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/media?parent=11354"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/categories?post=11354"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.saasweb.agency\/fr\/wp-json\/wp\/v2\/tags?post=11354"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}