Onderwerp: Hoge server-load door perl-scripts

Oorspronkelijk geplaatst door GlennMatthys

ps xfau zal de volledige lijst met lopende processen weergeven en de argumenten waarmee ze gestart zijn

Mochten de local.c files inderdaad exploits zijn, dan kan je er niet langer van uitgaan dat de output van ps nog daadwerkelijk klopt.

Gooi deze directories/bestanden 'ns weg (of hernoem ze als je op *safe* wilt spelen) en herstart daarna je web server.

Sourcecode is niet zo denderend gevaarlijk, de gecompilede versies van deze bestanden echter (mogelijk) wel.

De processen die voor de hoge load zorgen zijn Perl scripts. Als TS de bestanden verwijderd of hernoemt zullen de scripts niet meer kunnen worden aangeroepen en stopt daarmee ook de hoge load; een bestand met de extensie .c kan net zo goed een Perl script zijn.

Oorspronkelijk geplaatst door dreamhost_nl

De processen die voor de hoge load zorgen zijn Perl scripts. Als TS de bestanden verwijderd of hernoemt zullen de scripts niet meer kunnen worden aangeroepen en stopt daarmee ook de hoge load; een bestand met de extensie .c kan net zo goed een Perl script zijn.

TS heeft een webserver die een abnormaal hoge load waar 'gekke Perl' processen op draaien. Daarnaast heeft de TS files in een /tmp folder, via de webserver geplaatst, welke mogelijk ongecompileerde code bevatten.

Een oplossing in de trant van 'verwijder de broncode en herstart de webserver' zal er inderdaad voor zorgen dat de hoge load stopt, maar is natuurlijk op zijn zachtst gezegd een bijzonder onveilige oplossing.

Ongeveer net zo zinvol als iemand met een schotwond een pleister aanbieden - zolang je het bloeden niet ziet zal er immers wel niets aan de hand zijn

anders probeer even met lsof -i TCP en kijk of er vage processen draaien, en die op PID killen ..

Het lijkt me dat je er eerst voor zorgt dat de server load stopt en je daarna op je gemak uit gaat zoeken waar de Perl scripts vandaan zijn gekomen. Verwijderen hoeft ook niet persé, het hernoemen is ook afdoende zoals al eerder gezegd.