Linux за българи: Форуми

Сутринта като дойдох на работа, колегите от офиса ми казаха, че сървърът на фирмата не работи. Т.е MySQL и Firebird не отговаряли.
Реших да погледна и видях, че процесите са спрени. След като ги пуснах, излезе, че и пощата не работи. (qmail)
При пускане на PS показва следното нещо за пощата:

Примерен код

readproctitle service errors: ...not exist?svscan: warning: unable to stat qmail-smtpd: file does not exist?svscan: warning: unable to stat qmail-send: file does not exist?svscan: warning: unable to stat qmail-smtpd: file does not exist?svscan: warning: unable to stat qmail-send: file does not exist?svscan: warning: unable to stat qmail-smtpd: file does not exist?svscan: warning: unable to stat qmail-send: file does not exist?

Докато гледах с top какво върви ми направи впечатление, че ъптайма на сървъра е 9 часа.
А беше над 400 дни, което ме наведе на мисълта, че е рестартирана машината.

last -20 показа нещо много странно. Имаше няколко връзки към фтп-то, след което са следните 2 реда:

Примерен код

reboot   system boot  2.4.31           Tue Jun 19 00:05          (08:47) ***,q<** **m*X<y****i *****F******X*** Sun Mar 29 06:30 - crash (-15660+-13:

На мен това ми прилича като на заличаване на ред от лога. Като, че ли някой е влезнал в машината, забърсал е лога, правил е каквото е правил и е рестартирал.

Човека, който администрира сървъра е в Германия.
Аз имам минимални познания по Linux, а администрирането ми е клонящо към 0-та.
Може ли да ми дадете съвети какво мога да направя за да проверя дали нещо е променено, намазано.
Дистрибуцията е Slackware 10.1.

Ако FTP-то ти е prftpd, има remote excution flaw:

http://slackware.com/securit.....502491

Ако не си го пачнал - много вероятно да е пробив. Изключи машината и търси под дърво и камък човека от Германия дето администрира.

Няма смисъл да спираш машината ако ви трябва или е рутер истегли това ще  провери за експлойти и некорктни логвания

rootcheck

Да, FTP-to e proftpd. Сега ще говоря с колегата, който се е връзвал последно с FTP, какво е правил.

Айде да правим залози...според мен с 90% вероятност сървърът не е "хакнат". Така че ще заложа на "не е хакнат". Да залагаме по лев и с наградния фонд да почерпим спечелилите с бира

Аз залагам на "хакнат". Обновяването на Slackware с пакет е кошмар за всеки администратор. 10.1 е твърде стара версия, публичен FTP сървър е примамлва плячка, особено ако има пропуск в сигурността.

/off

Цитат (pink @ Юни 19 2007,12:10)

Обновяването на Slackware с пакет е кошмар за всеки администратор.

Хъх?!?
За мен не е => твоето твърдение е лъжа

Според мен init процеса е segfault-нал. Просто симптомите са много сходни някак си А и не знам кой ще е този зъл хахор дето ще омаже така wtmp че и на всичкото отгоре после ще рестартира сървъра - трябва да е някакъв пълен олигофрен според мен

А е доста детинско взе да става няма значение каква е дистрибуцията всяка си има своите предимства и недостатаци човека има проблем и можете да дадете някакъв по свестен отговор от глупави забилежки за пакети и т.н

преди известно време имах един познат дето имаше много интересен случай.
значи хакера беше ползвал някакъв бъг с ирц. основното което беше направил е че беше заменил репотата на федората и при последващо инсталиране на неща директно се качват хакнати пакети. много хитро

А пък на мен ми е много чудно кой си слага SlackWare за сървър. Има 3 дистрибуции които стават за сериозен сървър според мен и това са - Debian , RedHat и Suse. Ако искаш да имаш съпорт и да не се чудиш как да намериш админстратора, а да звъннеш на някой да му кажеш какъв ти е проблема и да ти помогне купуваш и си слагаш RedHat или Suse и готово.
П.П. Нищо не гарантира, че позването на тези 3 дистрибуции те предпазва на 100% от хакване.

абе айде пък специално пък сусе майни. ама виж дебиан и редхат да. то под редхат имам предвид и центос че и федора даже. виж сусе е прекалено нежно за сървър а и е бавно.

Няма ли някой друг доктор Хаус да се включи в залагането? Трябва да съберем поне 10-20 лева, иначе кво ебаси - няма минерална вода да се пие

Приятели, всички губите в спора. ВИНАГИ е виновно su    

Друго предположение, откъде е влезнато е webmin.
Засега, човека които се занимава в момента със сървъра взе да  го преглежда и намери, че туй нещо има отворен порт за perl !?

Братя, радва ме доброто настроение и склонността за поемане на риск, но все  пак още не сме пуснали онлайн залагания по сайта. Освен това, мисля че форума прелива от теми за това коя дистрибуция е по-по-най!
Имаше и конкретен въпрос (някъде в началото на първа страница)! Та!
Укротете логореята си, братя, и отговаряйте по-конкретно. Има няколко раздела където можете да спорите относно сигурността на дистрибуциите до схващане на пръстите.
Всяко следващо съобщение не по темата ще бъде изтривано!