Linux Server Gehackt

[runescom]

Hallo,

Ik heb al een jaar ongeveer een server draaien, met weinig er op.
Hij draaide ongeveer 30 GB dataverkeer per maand.
Apache viel op 3 Juni elke keer weg, en kon hem niet herstarten. Na het herstarten van de server, werkte het weer. Nu moest ik dit vandaag weer 6 keer doen. En ik ging mijn dataverkeer controleren, en dat was ineens 500GB aan het begin van de maand, dit proces staat er in mijn ps-aux

apache 11302 1.0 0.1 2912 1700 ? S 19:12 1:55 /usr/sbin/httpd -k start -DSSL

En als mijn apache wil herstarten:

(98)Address already in use: make_sock: could not bind to address 0.0.0.0:80
no listening sockets available, shutting down
Unable to open logs

Wie kan mij helpen? Ik heb de server toch nodig!

Groet,

Runescom

[DutchTSE]

apache stoppen, daarna:

killall -9 httpd

En dan starten. Krijg je dan nog de melding, dan is er inderdaad meer aan de hand.

[Japje]

apache killen
opnieuw starten
kijken of er nog meer zooi draait
kijken of al je software up2date is
firewall installeren
of... randy een pm sturen en hem er naar laten kijken.. is vast goedkoper dan nog eens 500Gb aan data traffic betalen ;-)

[Randy]

Kijk om te beginnen je /tmp en /var tmp eens na. Waarschijnlijk vind je hier een mapje met de naam ".. /" of iets in die geest, danwel andere ranzige shit. Zit je mailque ook vol met duizenden mailtjes? (exim -bpc)

[mikeh]

Hetgeen wat je verstuurde was zeker ook UDP ? :P

[frvge]

Op zich kan exim/bind wel eens aan poort 80 binden. Die ook killen, dan Apache weer opstarten en dan exim weer starten kan ook helpen.

Maar het 500GB probleem is idd niet zo best.

[ju5t]

Op zich kan exim/bind wel eens aan poort 80 binden. Die ook killen, dan Apache weer opstarten en dan exim weer starten kan ook helpen.

Maar het 500GB probleem is idd niet zo best.

Inderdaad, eerst even Exim afsluiten, dan Apache starten. Hierna Exim weer starten. Het proces is in ieder geval niet zorgwekkend.

[t.bloo]

Waarom probeert Exim eigenlijk aan poort 80 te binden? Google levert vooral klachten maar niet echt redenen en/of oplossingen.

I think Apache segfaults when it has a pipe open to Exim (/usr/sbin/sendmail) wich leaves Exim on port 80.

[ichosting]

Controleer ook even je apache cron of daar niets instaat dat steeds weer een of ander vaag script herstart.

[runescom]

Wat het was, ik vond een Commando op internet, om te kijken of er grote bestanden waren dan 5mb -> Er stonden een paar bestandeno p van 4 GB verwijderd en gekeken of er nog meer troep tussen stond, en alles verwijderd! Daarna killall -9 apache, httpd gedaan. Werkte niet toen het ps -aux gekeken welk 'process' nummer hij had dat gekild en httpd weer gesteart, probleem was voor bij en tot nu toe werkt het goed! het was via een PHPBB forum gegaan. ik krijg trouwens wel elke dag van BFD ongeveer 3 mailtjes met gebande ipadressen.

[Geert-Jan]

_cgi? zo niet, ombouwen!

[runescom]

*/5 * * * * root /etc/init.d/apf stop >> /dev/null 2>&1


dit vond ik in mijn cron heeft iemand de normale cron weer voor een Debian installatie? Want dit is het enige wat er nog instaat. dit moet weg?

[Geert-Jan]

IS de test (devel) modus dan wel uitgeschakeld in APF?

[Randy]

APF is leuk, maar voegt in dit geval niets toe. Poort 80 in- en uitkomend blijft open. Los eerst je probleem even op met de grote bestanden:

find /home/*/domains/*/public_html -type f -size +5000k -exec ls -lh {} \; | awk '{ print $5 " " $9 }'

Zo trok ik deze nog aan:
65M /home/user1/domains/domein.nl/public_html/gallery/Photoshop.rar

Even een kort kijkje leerde dat het een oude Gallery versie was die gehacked was.

Verder kun je afstappen van APF/BFD en overstappen op CSF/LFD. Deze intregreerd mooi in DirectAdmin zodat je met een GUI alles kunt beheren. Verder zit er een security check in die je een beetje op weg zal helpen.

[rackhost.be]

*/5 * * * * root /etc/init.d/apf stop >> /dev/null 2>&1


dit vond ik in mijn cron heeft iemand de normale cron weer voor een Debian installatie? Want dit is het enige wat er nog instaat. dit moet weg?

*/10 * * * * root /etc/apf/apf --refresh >> /dev/null 2>&1 &