Onderwerp: [win2k3] Enorm veel uitgaand verkeer (80Mbit)

Hoi,

Ik heb sinds kort op 1 van mijn servers periodiek heel veel uitgaand verkeer.
Dit houdt dan gemiddeld een kwartier tot half uur aan (als ik het niet stop), maar kan ook makkelijk 3 uur lopen als ik het niet in de gaten heb ('s nachts bijvoorbeeld).

Zodra ik een IISRESET uitvoer is het over.

Zou dit te maken kunnen hebben met een of andere slecht JOOMLA component?

Heeft iemand hier weleens last van gehad?

Server staat nu op 10Mbit om de kosten niet te hoog op te laten lopen.

[edit]: Ik heb uiteraard alle virusscan opties van NOD32 al uitgevoerd uitvoerig, dat heb ik naar mij idee uitgesloten.

Installeer network monitor eens(staat op de w2k3 cd) Dan kan je zien wat voor pakketjes er worden verzonden.

Zet de firewall aan van je server.
Je zit waarschijnlijk met een trojan of slechte scripts.

check eens met netstat -a wat voor poorten er open staan en naar waar.

Hoi,

Windows firewall staat aan (altijd al geweest).
Trojan zou NOD32 gevonden hebben toch?
Slechte scripts zit ik zelf aan te denken.
Alleen hoe kan ik van de 300+ IIS sites vinden welke dit zou veroorzaken?

Oorspronkelijk geplaatst door souflaki

Hoi,

Windows firewall staat aan (altijd al geweest).
Trojan zou NOD32 gevonden hebben toch?
Slechte scripts zit ik zelf aan te denken.
Alleen hoe kan ik van de 300+ IIS sites vinden welke dit zou veroorzaken?

Begin nou maar een met het installeren van Network Monitor.
Of download desnoods wireshark.

Dat heb ik zojuist gedaan.
Ik moet nu dus afwachten totdat het weer gebeurt.

Ik probeer in de tussentijd zoveel mogelijk tips te verzamelen om dit tegen te gaan.
Mijn vraag is nu dan ook, is er een mogelijkheid om te kijken welke IIS site op dat ogenblik een hoop data verstuurd (real-time)?

Is het niet gewoon een rootkit?

Heb ik ook aan gedacht.
Maar NOD32 moet die met een volledige scan eruit halen?

Zoek op uw hd bestanden groter dan 20 Mb ofzo.

Wij hebben het ook een met een klant zijn dedicated server gehad en die had daar ineens vanalle films opstaan op zijn HD.

Dat zou eigenlijk ook niet kunnen, dat zou ik dan in het dataverkeer per domein naar boven moeten komen.
Er is niets wat een grote stap omhoog doet sinds dat het begonnen is.

wordt dit misschein gedaan vanuit de virtual dir van het account?
denk aan servernaam.ext/~user
verder zou op linux iftop uitkomst moeten bieden, deze geeft alle current connecties weer inclusief outgoing ips en snelheid voor de upload

probeer ook eens het getargete ip te achterhalen, misschien is het wel een backup of cron vna een gebruiker

//excuses, het gaat natuurlijk om een linux server, niet goed gelezen

Het probleem is dat ik niet weet waar het precies vandaan komt.
Ik zie alleen in mijn switch een hoop verkeer.
En ik weet dat het voorbij is na een IISRESET...

Enige tips om het te achterhalen welk domein het doet zijn welkom :P

Goed kijken in je server logs op de tijdstippen dat het gebeurd(e) en vlak daarvoor. Zo zal je precies zien waardoor iemand in staat is een eventuele trojan/spambot te starten. Omdat je bij benadering de tijd weet moet dit goed te doen zijn.

Op Windows heeft elke domein zijn eigen logbestandje.
Dan zou ik dus 300+ logbestanden af moeten gaan op dat tijdstip.
Lijkt me onbegonnen werk.

Ik zou met wireshark eens sniffen wat er allemaal overheen gaat.