futuremix

CentOS 6 の 64bit 環境で chkrootkit を実行した際に、

 OooPS, not expected 104861 value

のようにエラーが頻繁に飛んでくるようになりました。

これは、100000を超えるようなプロセスやスレッドの ID があるときに発生します。chkrootkit 0.49 では、プロセスID の最大値を 99999 と想定しています。しかし、CentOS6 64bit 環境では、/proc/sys/kernel/pid_max の値が

# cat /proc/sys/kernel/pid_max
131072

と 131072 と表示される環境で、chkrootkit のエラーが発生していました。

これを回避するために、chkrootkit のソースコードの chkproc.c で

// #define MAX_PROCESSES 99999
#define MAX_PROCESSES 131072

のように変更してビルドする方法もありますが、sysctl.conf で kernel.pid_max の値を変更する方法もあります。

# etc/sysctl.conf
kernel.pid_max = 65536

OS を再起動すれば、/proc/sys/kernel/pid_max の値が変化します。