Onderwerp: Httpd (apache) crashed

Hey

Mijn httpd crashed om de zoveel tijd maar ik zou echt niet weten waar het aan zou kunnen liggen.

en als ik hem dan weer wilt starten komt er dit te staan:

An error has occurred

Details

/sbin/service httpd start 2>&1

Het is een CentOS server met Direct Admin

Zou iemand mij kunnen helpen ?

wat zegt apache error log?

Dit staat er in

[Wed Jan 28 20:37:25 2009] [error] [client 87.106.65.228] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Wed Jan 28 21:14:43 2009] [error] [client 195.70.61.122] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Wed Jan 28 21:51:35 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Wed Jan 28 23:18:15 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
Started: ./sshd
[Wed Jan 28 23:26:00 2009] [error] [client 84.33.51.12] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Thu Jan 29 00:13:02 2009] [notice] caught SIGTERM, shutting down

Oorspronkelijk geplaatst door BaseBoyNL

Dit staat er in

[Wed Jan 28 20:37:25 2009] [error] [client 87.106.65.228] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Wed Jan 28 21:14:43 2009] [error] [client 195.70.61.122] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Wed Jan 28 21:51:35 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Wed Jan 28 23:18:15 2009] [error] [client 89.163.144.178] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
Started: ./sshd
[Wed Jan 28 23:26:00 2009] [error] [client 84.33.51.12] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind
[Thu Jan 29 00:13:02 2009] [notice] caught SIGTERM, shutting down

ziet u het, zie ik het ik denk dat je maar eens moet rondzoeken op de accountjes die er op staan, want volgens mij heeft iemand er een backdoor op draaien.. die zal wss ook de crashes veroorzaken.

met anderen worden hij is gehackt ?

Ik heb er geen firewall op draaien.

Kunt u mij een goede aanraden zonder dat ik het hele zooitje sloop ?

Als ik apache wil starten via de terminal krijg ik het volgende:

[root@webserver2 ~]# /sbin/service httpd restart
Stopping httpd: [FAILED]
Starting httpd: (98)Address already in use: make_sock: could not bind to address [::]:80
(98)Address already in use: make_sock: could not bind to address 0.0.0.0:80
no listening sockets available, shutting down
Unable to open logs

Ai, dat ziet er op zich niet goed uit.
Wat gebeurt er als je killall -9 httpd doet en vervolgens nog eens probeert te starten?

Mocht je hulp nodig hebben, dan wil ik wel even kijken eventueel.

netstat -tap

kijken welke service draait op :80 en :443.

Een firewall heeft weinig zin, je houdt poort 80 (etc.) open, dus aanvallen blijven ook met firewall komen.
Anders even 'reboot' en je weet zeker dat alle poortjes weer vrij zijn. De snelste oplossing

zodra ik de server restart werkt het weer allemaal.

Tot na een bepaalde tijd dan klapt die er weer uit...

er draaid vrijwel niks op deze server dus ik kan geen backdoor vinden.

Vrijwel niets, is toch iets.
processen controleren, begin eens te kijken naar de users in /server-status.

Laat anders eens de lijst van processen op de server zien.

Hoe kan ik de processen op de server zien ? door welk command ?

Als ik doe ps krijg ik :
PID TTY TIME CMD
3499 pts/0 00:00:00 bash
3536 pts/0 00:00:00 ps


En als ik doe ps -ag:
Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ
PID TTY STAT TIME COMMAND
2885 tty1 Ss+ 0:00 /sbin/mingetty tty1
2886 tty2 Ss+ 0:00 /sbin/mingetty tty2
2887 tty3 Ss+ 0:00 /sbin/mingetty tty3
2888 tty4 Ss+ 0:00 /sbin/mingetty tty4
2890 tty5 Ss+ 0:00 /sbin/mingetty tty5
2892 tty6 Ss+ 0:00 /sbin/mingetty tty6
3499 pts/0 Ss 0:00 -bash
3537 pts/0 R+ 0:00 ps -ag

ps aux

omdat ie sshd heette kan je proberen, ps aux |grep sshd

als je dan een pid hebt zou je kunnen proberen, lsof |grep 1234 (waar 1234 het pid wat je uitgevogelt hebt hierboven)

je kunt proberen rkhunter (root kit hunter) op je server los te laten, deze laten ook vaak veel informatie zien.

http://www.webhostingtalk.nl/technie...ans-dfind.html

Ruikt naar een RFI scanner je aan het "mass" scannen is op vulnerabilities

Je zult prolly ook troep zoals dit ertussendoor vinden:

Code:

"GET /myadmin/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /phpmyadmin/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /PMA/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /mysql/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /admin/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /db/main.php HTTP/1.1" 404 1101 "-" "pmafind"
"GET /dbadmin/main.php HTTP/1.1" 404 1101 "-" "pmafind"