Onderwerp: [MySQL] Loggen van failed attempts

Hallo,

Ik heb de laatste tijd een lastig probleem met MySQL.

Ongeveer 73% van alle connecties naar deze server failed, nu is dat geen probleem met de server, maar het zijn gewoon puur foute username/password combinaties.

Het gaat hier om een flinke database-server die in een shared hosting omgeving gebruikt wordt.

Even gaan zoeken in alle scripts is uiteraard zoeken naar een naald in een hooiberg, daarom wil ik alle failed logins loggen zodat ik weet waar het vandaan komt.

Het probleem is namelijk, soms komen er ineens zo veel failed attempts, dat MySQL het niet meer trekt en er gewoon mee stopt. De daemon blijft wel draaien, maar accepteert niets meer.

Op Google vind ik wel wat, maar nergens een concreet antwoord of het wel mogelijk is.

Heeft iemand een idee?

Kleine toevoeging:

Code:

This MySQL server has been running for 0 days, 0 hours, 0 minutes and 45 seconds. It started up on Aug 31, 2006 at 12:20 PM.

Code:

max. concurrent connections: 19
Failed attempts: 10k (89.44%)
Total: 11k

Na 45 seconde uptime zijn er dus al 10k failed attempts geweest.

Uhhh
--log-warnings
http://dev.mysql.com/doc/refman/5.1/...on-errors.html

Of starten met --log=naam_van_log
dat groeit op een beetje heftig gebruikte server erg snel
Zou je dan met grep in moeten zoeken. Neem aan dat jij daar ook wel mee overweg kan

Oorspronkelijk geplaatst door Wido

Code:

max. concurrent connections: 19
Failed attempts: 10k (89.44%)
Total: 11k

Na 45 seconde uptime zijn er dus al 10k failed attempts geweest.

Die server is naar ik aanneem alleen via de eigen servers bereikbaar?

In mijn my.cnf staat:

log-warnings

Ik heb ook netjes een errorlog, maar daar komt echt niets boeiends voorbij.

Deze server is alleen via eigen machine's te bereiken.

Ondertussen heb ik al 79k failed attempts, maar in mijn log staan op dit moment pas 100 regels. Ik wil minimaal 79k aan regels zien zodat ik weet wát die failed attempts zijn!

waarom niet met tcpdump even paar seconden loggen. Dan heb je precies die log die je wilt hebben.

Het komt namelijk vanaf servers af die ook gewoon normale logins doen.

Oorspronkelijk geplaatst door Wido

Ondertussen heb ik al 79k failed attempts, maar in mijn log staan op dit moment pas 100 regels. Ik wil minimaal 79k aan regels zien zodat ik weet wát die failed attempts zijn!

Starten met --log=naam_van_log in de commandline. Vervolgens:
grep "Access denied" naam_van_log
En je zie welke users langs komen vliegen.

Hou wel in de gaten dat je log razendsnel zal groeien, je log namelijk alle queries..

zoals geroepen op irc:

15:39 <+Lamp-> je querylog aanzetten, daarin komen wel failed logins
15:40 <+Lamp-> 65525 Connect Access denied for user 'root'@'localhost' (using password: YES)


Een paar minuten log zou dan voldoende moeten zijn

Dat heb ik inderdaad al getest, maar mijn MySQL logt dan helemaal geen enkele query.

Er komt alleen dit te staan:

Code:

/usr/local/mysql/bin/mysqld, Version: 5.1.11-beta-log. started with:
Tcp port: 3306  Unix socket: /tmp/mysql.sock
Time                 Id Command    Argument

Verder komt er geen enkele query in.

Die logfile is van de gebruiker mysql, ook de directory waarin die file staat. De slow_query log wordt wel weggeschreven en staat in de zelfde map met de zelfde rechten.

Waarom ik een beta draai? Omdat MySQL 5.0 ongeveer elke 30 seconde crashed, de 5.1 beta draait stukken beter.

wat is je gehele command welke je gegeven heb.

Ik heb zelf in /etc/my.cnf staan onder [mysqld]
log=/var/log/mysqlquery.log

De file die aangemaakt wordt is van de mysql user. Deze moet daar dus wel kunnen schrijven.

Oorspronkelijk geplaatst door bakkerl

wat is je gehele command welke je gegeven heb.

Ik heb zelf in /etc/my.cnf staan onder [mysqld]
log=/var/log/mysqlquery.log

De file die aangemaakt wordt is van de mysql user. Deze moet daar dus wel kunnen schrijven.

Bij mij staat er onder mysqld

log=/var/log/mysql/mysql.log

De log file (/var/log/mysql/mysql.log) is wel aangemaakt? Of staat daar alleen bovenstaande (wat je eerder gemeld heb) in?

Oorspronkelijk geplaatst door bakkerl

De log file (/var/log/mysql/mysql.log) is wel aangemaakt? Of staat daar alleen bovenstaande (wat je eerder gemeld heb) in?

Daar staat alleen in wat ik hier boven melde.

Grappig, als ik mysql start met in de opdrachtregel
--log=naam_van_log
krijg ik gewoon netjes alle queries gelogd hoor.. gebruik het op development servers om queries te controleren.. nog niet met v5.1.x getest, wel met 3.x 4.x en 5.0x

Logfile komt in de /path/naar/mysql/var directory te staan.. ymmv

Vanaf 5.1.6 zijn de log opties iets anders geworden, vandaar dat je waarschijnlijk geen queries in de log ziet (bron: http://dev.mysql.com/doc/refman/5.1/en/log-tables.html)

Om nu de log= optie wel te laten werken zal er nog iets bij moeten als: log-output=FILE. De default waarde is TABLE en wil die dus naar een tabel loggen.
Waarschijnlijk heb je ook die log tables al en kun je op die pagina zien hoe je er bij kunt komen.

Een van beide opties moet dus mogelijk zijn.