Bekijk Volledige Versie : Httpd (apache) crashed
Hey
Mijn httpd crashed om de zoveel tijd maar ik zou echt niet weten waar het aan zou kunnen liggen.
en als ik hem dan weer wilt starten komt er dit te staan:
An error has occurred
Details
/sbin/service httpd start 2>&1
Het is een CentOS server met Direct Admin
Zou iemand mij kunnen helpen ?
wat zegt apache error log?
Dit staat er in
[Wed Jan 28 20:37:25 2009] [error] [client 87.106.65.228] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Wed Jan 28 21:14:43 2009] [error] [client 195.70.61.122] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Wed Jan 28 21:51:35 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Wed Jan 28 23:18:15 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
Started: ./sshd
[Wed Jan 28 23:26:00 2009] [error] [client 84.33.51.12] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Thu Jan 29 00:13:02 2009] [notice] caught SIGTERM, shutting down
Dit staat er in
[Wed Jan 28 20:37:25 2009] [error] [client 87.106.65.228] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Wed Jan 28 21:14:43 2009] [error] [client 195.70.61.122] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Wed Jan 28 21:51:35 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Wed Jan 28 23:18:15 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
Started: ./sshd
[Wed Jan 28 23:26:00 2009] [error] [client 84.33.51.12] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)
[Thu Jan 29 00:13:02 2009] [notice] caught SIGTERM, shutting down
ziet u het, zie ik het :) ik denk dat je maar eens moet rondzoeken op de accountjes die er op staan, want volgens mij heeft iemand er een backdoor op draaien.. die zal wss ook de crashes veroorzaken.
met anderen worden hij is gehackt ?
Ik heb er geen firewall op draaien.
Kunt u mij een goede aanraden zonder dat ik het hele zooitje sloop ? ;)
Als ik apache wil starten via de terminal krijg ik het volgende:
[root@webserver2 ~]# /sbin/service httpd restart
Stopping httpd: [FAILED]
Starting httpd: (98)Address already in use: make_sock: could not bind to address [::]:80
(98)Address already in use: make_sock: could not bind to address 0.0.0.0:80
no listening sockets available, shutting down
Unable to open logs
Ai, dat ziet er op zich niet goed uit.
Wat gebeurt er als je killall -9 httpd doet en vervolgens nog eens probeert te starten?
Mocht je hulp nodig hebben, dan wil ik wel even kijken eventueel.
netstat -tap
kijken welke service draait op :80 en :443.
Een firewall heeft weinig zin, je houdt poort 80 (etc.) open, dus aanvallen blijven ook met firewall komen.
Anders even 'reboot' en je weet zeker dat alle poortjes weer vrij zijn. De snelste oplossing :)
zodra ik de server restart werkt het weer allemaal.
Tot na een bepaalde tijd dan klapt die er weer uit...
er draaid vrijwel niks op deze server dus ik kan geen backdoor vinden.
Vrijwel niets, is toch iets.
processen controleren, begin eens te kijken naar de users in /server-status.
Laat anders eens de lijst van processen op de server zien.
Hoe kan ik de processen op de server zien ? door welk command ?
Als ik doe ps krijg ik :
PID TTY TIME CMD
3499 pts/0 00:00:00 bash
3536 pts/0 00:00:00 ps
En als ik doe ps -ag:
Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ
PID TTY STAT TIME COMMAND
2885 tty1 Ss+ 0:00 /sbin/mingetty tty1
2886 tty2 Ss+ 0:00 /sbin/mingetty tty2
2887 tty3 Ss+ 0:00 /sbin/mingetty tty3
2888 tty4 Ss+ 0:00 /sbin/mingetty tty4
2890 tty5 Ss+ 0:00 /sbin/mingetty tty5
2892 tty6 Ss+ 0:00 /sbin/mingetty tty6
3499 pts/0 Ss 0:00 -bash
3537 pts/0 R+ 0:00 ps -ag
ps aux
omdat ie sshd heette kan je proberen, ps aux |grep sshd
als je dan een pid hebt zou je kunnen proberen, lsof |grep 1234 (waar 1234 het pid wat je uitgevogelt hebt hierboven)
je kunt proberen rkhunter (root kit hunter) op je server los te laten, deze laten ook vaak veel informatie zien.
http://www.webhostingtalk.nl/techniek-beveiliging/87598-get-w00tw00t-isc-sans-dfind.html
Ruikt naar een RFI scanner je aan het "mass" scannen is op vulnerabilities ;)
Je zult prolly ook troep zoals dit ertussendoor vinden:
"GET /myadmin/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /phpmyadmin/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /PMA/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /mysql/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /admin/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /db/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /dbadmin/main.php HTTP/1.1" 404 1101 "-" "pmafind"
http://isc.sans.org/diary.html?storyid=900
"GET /w00tw00t.at.ISC.SANS.DFind:)"
It seems that we forgot to tell our whitehat readers that the search is off. We know what's behind it. It's a web vulnerability scanner that has this fingerprint. Find and use it at your own risk. We at the Internet Storm Center distance ourselves from this tool that is labeled by at least one security company as a hacker tool..
//edit
[root@webserver2 ~]# /sbin/service httpd restart
Stopping httpd: [FAILED]
Starting httpd: (98)Address already in use: make_sock: could not bind to address [::]:80
(98)Address already in use: make_sock: could not bind to address 0.0.0.0:80
no listening sockets available, shutting down
Unable to open logs
Het lijkt me logisch dat apache zich niet aan ::1 / IP kon binden, het is namelijk nog in gebruik door je oude apache process welke niet succesvol gestopt is. Zie ook: "[FAILED]" in de quote hierboven.
Waarschijnlijk eerder dat het root apache process al niet meer draaide (childs wss nog wel) en het ding wat gestart word bind aan poort 80, en daardoor apache niet meer start.
Als dat zo is, moet je eens een netstat -plant |grep LIST doen, en kijk eens wat er op poort 80 draait.. zie je heel poort 80 niet meer, dan heb je zelfs een kans dat je bak geroot is en dat ze dingen zoals ps en netstat hebben vervangen om hun zaakjes te verbergen.
Daar word je niet vrolijk van :P
wat zijn de oplossingen om dit tegen te gaan ?
Ik heb gegoogled maar er word enkel verteld wat het is en niet wat je er tegen kan doen... iemand enig idee ?
Daar word je niet vrolijk van :P
wat zijn de oplossingen om dit tegen te gaan ?
Ik heb gegoogled maar er word enkel verteld wat het is en niet wat je er tegen kan doen... iemand enig idee ?
1) oorzaak zoeken. en account afsluiten
2) kijken wat er door aangetast is. Als je niet 100% zeker kan zeggen dat ie geroot is (en zelfs dan) moet je hem opnieuw installeren
3) beveiliging van je server aanscherpen*
* Gezien je kennis op dit gebied zou ik zeggen zoek een managed ded of vps en laat het doen ;-) of huur Randy in ;)
tjah moet het toch een keertje leren toch ;)
Wat is de beste beveiliging ?
CSF/LFD ?? dit las in in een ander topic.
tjah moet het toch een keertje leren toch ;)
Wat is de beste beveiliging ?
CSF/LFD ?? dit las in in een ander topic.
nope, is maar een onderdeeltje van de grote berg, en het houdt je processen op :80 niet tegen.
Hoe weten jullie nou of hij op zeker geroot is ?
Zijn apache server wordt gewoon lastig gevallen door een RFI scan tool, wat uiteraard vulnerabilities exploit en misbruikt. Hij kan geroot zijn als die auto-scanner/rooter een vuln geexploiteerd heeft, is de server secure (denk aan chrooted environment) en hoe veilig zijn de draaiende php scripts (*kuch* joomla *kuch*) ??
We need more info!!
- Welke php scripts draaien er?
- Zijn ze up2date ?
- Server draait chrooted / firewall (nee) ?
- Check of er een onbekende gebruiker zich op je doos bevind ( zie /etc/passwd ) en check ook of de gebruiker `www' /sbin/nologin als "shell" heeft.
Laat apache eens stoppen (check dmv ps -aux && kill -9 pid ) en herstart het.
Kan het zich dan nog niet binden aan poort 80 en 443, check dan netstat -a (zoek op http / https / 80 / 443 )
Maareh, again, we need info :)
ik weet het niet ik lees het alleen en zoek naar een oplossing
Probeer eens rkhunter te installeren om te zien of dit iets oplevert.
yum install rkhunter
rkhunter --update
rkhunter -c
Setting up Install Process
Parsing package install arguments
No package rkhunter available.
Nothing to do
Precies een rootkit die wij ook hebben aangetroffen op een server van een klant (zonder beheer). Doe 's een lsattr /bin/ | grep ia
Als je daar dingen als ps, netstat, enzovoort bij hebt staan dan is dat 'm. Vanacht sloeg 'ie bij ons toe en hij bind ook op de apache poorten maar 't proces zie je niet omdat je netstat, ps, enzovoort binary's zijn gereplaced.
Ik kan 'm voor je schoon maken als je wilt. De oorzaak heb ik alleen bij die klant nog niet kunnen achterhalen. Dus de manier waarmee ze binnen kwamen. 't Rooten zelf is een kernel exploit 'vmslice'.
http://sourceforge.net/project/showfiles.php?group_id=155034&package_id=172567
tar zxvf rkhunter-1.3.4.tar.gz
cd rkhunter-1.3.4
./installer.sh --layout /usr/local --install
als je mod_ruid hebt draaien kun je zien onder welke user het gestart word. maaaaaaaar als ze zoals bij jesperw dmv de vmslice exploit root access hebben gekregen word het al veel lastiger omdat ze dan al waarschijnlijk hun stappen hebben gewist. Ook het vervangen van netstat en ps heeft geen zin.
Ook ik heb dit gezien bij een dedicated klant van ons die zelf het "beheer" deed. Uit einderlijk bleek dat er een "sshd " (notice de spatie) in /usr/bin was gezet. en een stel opstart scriptjes in init.d die al mn mooie opruim werk weer teniet deden door ergens een verborgen zipje uit te pakken en rustig aan weer alles vervangen. dus een reboot is geen garantie dat alle gekke processen weg zijn!!! dat je ze in ps niet ziet wil niet betekenen dat ze er niet zijn!!
vaak blijft een herinstall over.
Precies een rootkit die wij ook hebben aangetroffen op een server van een klant (zonder beheer). Doe 's een lsattr /bin/ | grep ia
Als je daar dingen als ps, netstat, enzovoort bij hebt staan dan is dat 'm. Vanacht sloeg 'ie bij ons toe en hij bind ook op de apache poorten maar 't proces zie je niet omdat je netstat, ps, enzovoort binary's zijn gereplaced.
Ik kan 'm voor je schoon maken als je wilt. De oorzaak heb ik alleen bij die klant nog niet kunnen achterhalen. Dus de manier waarmee ze binnen kwamen. 't Rooten zelf is een kernel exploit 'vmslice'.
Dat is de alom bekende "suckit" kit, die wordt al sinds '98 gebruikt :thumbdown:
Als het goed is heb je dan ook nog een ssh-backdoor op een vage poort als 4343 zitten.
Draait je klant php scripts wat betrekking hebben tot RFI ? ( http://www.ossec.net/wiki/index.php/RFI_Vulnerability_scanner <-- iets wat daartussen past)
Of andere outdated services ?
iig suc6.
Geen rootkits oid kunnen vinden. Wat dingetjes aangepast en beveiligd. We wachten het even af nu.
Maar draait er ook outdated "software" op ? :)
Dat is de alom bekende "suckit" kit, die wordt al sinds '98 gebruikt :thumbdown:
Als het goed is heb je dan ook nog een ssh-backdoor op een vage poort als 4343 zitten.
Chattr'en doen alle rootkits. Die is het niet. :rolleyes:
zie error log.
==> SIZE m ... 11109
==> PASV ... done. ==> RETR m ... done.
Length: 11109 (11K)
0K .......... 100% 124K=0.09s
18:57:07 (124 KB/s) - `m' saved [11109]
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
[Wed Nov 04 19:12:58 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:58 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
[Wed Nov 04 19:12:59 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:59 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
Empty input file
Empty input file
Empty input file
Empty input file
Empty input file
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/pma
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/admin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/dbadmin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/mysql
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/php-my-admin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/myadmin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/PHPMYADMIN
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/p
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Thu Nov 05 00:19:01 2009] [notice] caught SIGTERM, shutting down
zie error log.
==> SIZE m ... 11109
==> PASV ... done. ==> RETR m ... done.
Length: 11109 (11K)
0K .......... 100% 124K=0.09s
18:57:07 (124 KB/s) - `m' saved [11109]
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
[Wed Nov 04 19:12:58 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:58 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
[Wed Nov 04 19:12:59 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:59 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
Empty input file
Empty input file
Empty input file
Empty input file
Empty input file
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/pma
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/admin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/dbadmin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/mysql
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/php-my-admin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/myadmin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/PHPMYADMIN
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/p
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Thu Nov 05 00:19:01 2009] [notice] caught SIGTERM, shutting down
Dit stukje log zegt eigenlijk niks. Wat is nu het probleem?
Als ik me geld ergens op moet inzetten zou ik zeggen dat iets een perl scriptje 'm' probeert te downloaden, dit execute maar dat het commando sysctl niet gevonden kan worden. De errors daaronder hebben er verder niets mee te maken :)
Probleem is dat je apache niet kan herstarten omdat poort 80 in gebruik is?
hoe los ik dat nu op dan?
hoe los ik dat nu op dan?
Probeer eerst eens wat dangerous php functies te disablen.
Even zoek naar "disable_functions" binnen php.ini, en changen in:
disable_functions = dl,system,exec,passthru,shell_exec
Apache naderhand wel even een reboot geven.
kan ik gewoon DA reboten om het op te lossen?
normaal heb ik Randy maar hij is niet bereikbaar.. (maft nog denk ik)
hoe los ik dat nu op dan?
Er zijn ontelbaar hoeveel manieren dat een perl scriptje binnen kan komen, de meest voorkomende checks:
- is /tmp met noexec gemount?
- staan er bestanden in /tmp die er niet horen?
- controleer de apache logs (error en access log) of er rare dingen in staan die met downloaden van bestanden te maken heeft
- controleer de apache logs van de domeinen op hetzelfde
- controleer de FTP logs of er *.pl bestanden worden geupload en binnen 2 seconden weer verwijderen worden (zoja, dan even wachtwoord van die gebruiker resetten).
Succes dermee :) Het kan best een aantal dagen duren voor je het definitief hebt opgelost (of meteen de 1e keer als je mazzel hebt).
kan ik gewoon DA reboten om het op te lossen?
normaal heb ik Randy maar hij is niet bereikbaar.. (maft nog denk ik)
Is je apache nu nog niet bereikbaar dan?
killall -9 perl
service httpd restart
Kijk eens of het dan is opgelost (hoop niet voor je dat er legitieme perl processen draaien, maar dat zal je zelf wel weten).
(misschien toch maar een fallback systeembeheerder nemen? ;))
Dit stukje log zegt eigenlijk niks. Wat is nu het probleem?
Als ik me geld ergens op moet inzetten zou ik zeggen dat iets een perl scriptje 'm' probeert te downloaden, dit execute maar dat het commando sysctl niet gevonden kan worden. De errors daaronder hebben er verder niets mee te maken :)
Probleem is dat je apache niet kan herstarten omdat poort 80 in gebruik is?
Dit stukje log zegt precies wat je nodig hebt om te begrijpen wat er gebeurt icm met de vorige stukjes die hij al had gepost.
Er draait gewoon een domeintje waar dmv een xss exploit een shelletje wordt gedownload via wget (de "m" file) deze zal worden geexecute en zal netjes voorzien in een shelletje. De output hiervan komt gedeeltelijk terug in de log. Waarschijnlijk probeert het shelletje op poort 80 te draaien en zodra dit gelukt is is je apache niet meer bereikbaar. Of er wordt een 2e process gestart die poort 80 bezet houd (denk aan irc botjes, spam scripjes ed).
probeer eens:
netstat -ltnup |grep ':80'
Als het weer gebeurt.. Output hiervan zal trouwens alleen bruikbaar zijn indien netstat niet is vervangen..
Grote kans dat er een proces onder de userid van apache draait. Als je die killed kan apache weer draaien.
Beste wat je kun doen is logs van al je domeinen controleren op waar ze proberen binnen te komen..
Ook mod_ruid installeren is een hele goede, dan zal het proces niet meer onder apache (www-data) draaien maar onder de userid van de uploader.. Maar hoe dat samen met DA moet durf ik je niet te zeggen... Misschien hebben andere daar meer ervaring mee.
Dit stukje log zegt precies wat je nodig hebt om te begrijpen wat er gebeurt icm met de vorige stukjes die hij al had gepost.
Dat was precies waar ik me geld op inzetten, echter is de log net te laat gekopieerd, want het stukje erboven mist nog ;)
wie wil dit tegen vergoeding even oppakken
bel maar op 0229-260080
Randy reageert altijd netjes binnen 4 uur. Nu zat ik in een lezing en stond het geluid even uit. Inmiddels alles opgelost. Dank allen.
Dank allen.
Geen dank! doe maar een lekker biertje! :thumbup: