Bekijk Volledige Versie : Linux Server Gehackt
Hallo,
Ik heb al een jaar ongeveer een server draaien, met weinig er op.
Hij draaide ongeveer 30 GB dataverkeer per maand.
Apache viel op 3 Juni elke keer weg, en kon hem niet herstarten. Na het herstarten van de server, werkte het weer. Nu moest ik dit vandaag weer 6 keer doen. En ik ging mijn dataverkeer controleren, en dat was ineens 500GB aan het begin van de maand, dit proces staat er in mijn ps-aux
apache 11302 1.0 0.1 2912 1700 ? S 19:12 1:55 /usr/sbin/httpd -k start -DSSL
En als mijn apache wil herstarten:
(98)Address already in use: make_sock: could not bind to address 0.0.0.0:80
no listening sockets available, shutting down
Unable to open logs
Wie kan mij helpen? Ik heb de server toch nodig!
Groet,
Runescom
apache stoppen, daarna:
killall -9 httpd
En dan starten. Krijg je dan nog de melding, dan is er inderdaad meer aan de hand.
apache killen
opnieuw starten
kijken of er nog meer zooi draait
kijken of al je software up2date is
firewall installeren
of... randy een pm sturen en hem er naar laten kijken.. is vast goedkoper dan nog eens 500Gb aan data traffic betalen ;-)
Kijk om te beginnen je /tmp en /var tmp eens na. Waarschijnlijk vind je hier een mapje met de naam ".. /" of iets in die geest, danwel andere ranzige shit. Zit je mailque ook vol met duizenden mailtjes? (exim -bpc)
Hetgeen wat je verstuurde was zeker ook UDP ? :P
Op zich kan exim/bind wel eens aan poort 80 binden. Die ook killen, dan Apache weer opstarten en dan exim weer starten kan ook helpen.
Maar het 500GB probleem is idd niet zo best.
Op zich kan exim/bind wel eens aan poort 80 binden. Die ook killen, dan Apache weer opstarten en dan exim weer starten kan ook helpen.
Maar het 500GB probleem is idd niet zo best.
Inderdaad, eerst even Exim afsluiten, dan Apache starten. Hierna Exim weer starten. Het proces is in ieder geval niet zorgwekkend.
Waarom probeert Exim eigenlijk aan poort 80 te binden? Google levert vooral klachten maar niet echt redenen en/of oplossingen.
I think Apache segfaults when it has a pipe open to Exim (/usr/sbin/sendmail) wich leaves Exim on port 80.
Controleer ook even je apache cron of daar niets instaat dat steeds weer een of ander vaag script herstart.
Wat het was, ik vond een Commando op internet, om te kijken of er grote bestanden waren dan 5mb -> Er stonden een paar bestandeno p van 4 GB verwijderd en gekeken of er nog meer troep tussen stond, en alles verwijderd! Daarna killall -9 apache, httpd gedaan. Werkte niet toen het ps -aux gekeken welk 'process' nummer hij had dat gekild en httpd weer gesteart, probleem was voor bij en tot nu toe werkt het goed! het was via een PHPBB forum gegaan. ik krijg trouwens wel elke dag van BFD ongeveer 3 mailtjes met gebande ipadressen.
*/5 * * * * root /etc/init.d/apf stop >> /dev/null 2>&1
dit vond ik in mijn cron heeft iemand de normale cron weer voor een Debian installatie? Want dit is het enige wat er nog instaat. dit moet weg?
IS de test (devel) modus dan wel uitgeschakeld in APF?
APF is leuk, maar voegt in dit geval niets toe. Poort 80 in- en uitkomend blijft open. Los eerst je probleem even op met de grote bestanden:
find /home/*/domains/*/public_html -type f -size +5000k -exec ls -lh {} \; | awk '{ print $5 " " $9 }'
Zo trok ik deze nog aan:
65M /home/user1/domains/domein.nl/public_html/gallery/Photoshop.rar
Even een kort kijkje leerde dat het een oude Gallery versie was die gehacked was.
Verder kun je afstappen van APF/BFD en overstappen op CSF/LFD. Deze intregreerd mooi in DirectAdmin zodat je met een GUI alles kunt beheren. Verder zit er een security check in die je een beetje op weg zal helpen.
rackhost.be
07/06/09, 18:34
*/5 * * * * root /etc/init.d/apf stop >> /dev/null 2>&1
dit vond ik in mijn cron heeft iemand de normale cron weer voor een Debian installatie? Want dit is het enige wat er nog instaat. dit moet weg?
*/10 * * * * root /etc/apf/apf --refresh >> /dev/null 2>&1 &
eXtreme Service
07/06/09, 20:12
*/10 * * * * root /etc/apf/apf --refresh >> /dev/null 2>&1 &
Dit moet gewoon weg. Deze lijn staat er om ervoor te zorgen dat bij een foute instelling van APF het maar voor korte tijd onmogelijk is om uw server te bereiken... Handig van de "hacker" om deze terug te plaatsen.
Dit heeft niets met een hack te maken. Je kunt gewoon via netstat of lsof kijken welk pid zich gekoppeld heeft aan poort 80 en deze killen. (lsof -i tcp:80)