Onderwerp: server met veel uitgaand verkeer?

Een maat van mij heeft een server met Fedora core 2 en deze doet regelmatig (1x in de week) veel dataverkeer de deur uit gaan? Verder staat er niks op wat deze dataverkeer op vreet? hebben jullie enig idee waar het aan zou kunnen liggen?

Op de server draait plesk.

Wat is veel?
En backups misschien?

rond de 30gig per 8uur uitgaand verkeer. Dit verkeer wordt dan in plesk niet meegerekend?

hij heeft net een rootkit check gerunt en krijgt het volgende te zien:

* Application version scan
- GnuPG 1.2.4 [ OK ]
- Apache 2.0.51 [ Old or patched version ]
- Bind DNS 9.2.3 [ Unknown ]
- OpenSSL 0.9.7a [ Old or patched version ]
- PHP 4.3.10 [ Old or patched version ]
- Procmail MTA 3.22 [ OK ]
- ProFTPd 1.2.10 [ OK ]
- OpenSSH 3.6.1p2 [ Old or patched version ]

Wat betekend Old or patched version exact?

Old is gewoon oude versie
Patched is dat een bepaalde versie customised/veranderd is.

kan dit door plesk gewijzigd zijn?

dat is mogelijk, maar pin me er niet op vast.

Origineel geplaatst door runandgo
]Een maat van mij heeft een server met Fedora core 2 en deze doet regelmatig (1x in de week) veel dataverkeer de deur uit gaan? <snip>
hebben jullie enig idee waar het aan zou kunnen liggen?

worden de oude logfiles niet door logrotate gemailed?

nee, kan het zo zijn dat dit door een forum phpbb wordt veroorzaakt? zoja, en hoe ontdenkt hij welke het is?

Hoe wordt de traffic gemeten?

Voer anders eens een tcpdump uit in de uren dat dat verkeer naar buiten gaat. Zo kan je een inducatie krijgen om welke protocolen het gaat. Als je dit weet kan je wat gerichter zoeken naar het probleem. Als het tcp om tcp pakketten gaat dan kan je misschien met netstat -npt de aplicatie vinden het probleem veroorzaakt. En zo verder de stroom opwaards naar de bron opzwemmen.

In plesk wordt verkeer over rare poorten niet meegenomen. Volgens mij werken ze zelfs met de logfiles.

Verkeer van 30GB duidt bijna zeker weten op rare processen welke lopen te dDOSsen.

Succes!

Klinkt inderdaad alsof er wel degelijk vreemde proccessen draaien.

Ik bedoel... een goede "scriptkiddie" kan ze verstoppen voor het ziende oog veranderd gewoon de normale binutils.

ps / netstat e.d. kunnen allemaal zijn aangetast en rootscanners zijn ook afhankelijk van deze utils.