Page 1 of 1
geheimnisvolle User
Posted: 2006-01-01 18:24
by lars007
Moin moin allerseits,
ein frohes neues Jahr!
Code: Select all
# uptime
3:57pm an 98 Tage 19:39, 100 Benutzer, Durchschnittslast: 0,35, 0,23, 0,14
# users
web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web0 web1 web1 web1 web1 web1 web12 web12 web12 web12 web12 web12 web12 web12 web12 web12 web19 web35 web35 web35 web35
# ps u
USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
root 3366 0.0 0.0 1692 4 tty1 S 2005 0:00 /sbin/mingetty --noclear tty1
root 3374 0.0 0.0 1692 4 tty2 S 2005 0:00 /sbin/mingetty tty2
root 3375 0.0 0.0 1692 4 tty3 S 2005 0:00 /sbin/mingetty tty3
root 3376 0.0 0.0 1692 4 tty4 S 2005 0:00 /sbin/mingetty tty4
root 3377 0.0 0.0 1692 4 tty5 S 2005 0:00 /sbin/mingetty tty5
root 3378 0.0 0.0 1692 4 tty6 S 2005 0:00 /sbin/mingetty tty6
root 20438 0.0 0.2 2692 1160 pts/1298 S 15:54 0:00 su
root 20439 0.0 0.3 3100 1824 pts/1298 S 15:54 0:00 bash
root 20494 0.0 0.1 2864 856 pts/1298 R 15:57 0:00 ps u
# ps -u web0
PID TTY TIME CMD
3806 ? 00:00:02 server_linux
3807 ? 00:00:00 server_linux
3808 ? 00:00:05 server_linux
3809 ? 00:00:07 server_linux
3810 ? 00:00:02 server_linux
3811 ? 00:01:21 server_linux
3812 ? 00:03:05 server_linux
3813 ? 00:04:30 server_linux
3817 ? 00:07:25 server_linux
3818 ? 00:24:16 server_linux
3819 ? 00:25:02 server_linux
3829 ? 00:00:06 server_linux
3830 ? 00:00:08 server_linux
3831 ? 00:00:06 server_linux
3835 ? 00:00:09 server_linux
3836 ? 00:00:16 server_linux
3837 ? 00:00:19 server_linux
3838 ? 00:00:00 server_linux
3839 ? 00:00:05 server_linux
3840 ? 00:00:04 server_linux
3841 ? 00:01:04 server_linux
3977 ? 00:00:39 eggdrop
23025 ? 00:00:27 server_linux
23026 ? 00:01:34 server_linux
23027 ? 00:02:11 server_linux
2334 ? 00:00:43 eggdrop
23825 ? 00:00:00 screen
23826 pts/373 00:00:00 bash
5618 ? 00:00:22 server_linux
5619 ? 00:01:06 server_linux
5620 ? 00:01:21 server_linux
1757 ? 00:01:03 server_linux
1758 ? 00:02:43 server_linux
1759 ? 00:03:34 server_linux
4544 ? 00:01:06 ircd
29250 ? 00:00:13 srvx
3524 ? 00:02:08 server_linux
3525 ? 00:04:44 server_linux
3526 ? 00:06:55 server_linux
17293 ? 00:00:50 eggdrop
12070 ? 00:03:00 eggdrop
4746 ? 00:00:01 eggdrop
18438 pts/1298 00:00:00 bash
# ps -u web1
PID TTY TIME CMD
22618 ? 00:43:28 psybnc
2570 ? 00:14:29 psybnc
19614 ? 00:01:20 psybnc
# ps -u web12
PID TTY TIME CMD
# ps -u web19
PID TTY TIME CMD
# ps -u web35
PID TTY TIME CMD
Hat irgendjemand eine Erklärung oder weitere Vorgehensweisen zu diesem Symptom?
Gruß,
Lars
Re: geheimnisvolle User
Posted: 2006-01-01 18:48
by aubergine
Falls du diese User weder kennst noch weist was da läuft, so ist dein Server massiv gehacked worden.
Daher neuinstallieren lassen.
Die Tatsache das dort Leute schon Bouncer und eggdrop laufen lassen, zeigt irgendwo auch dass das nit erst gestern passiert ist, sondern wohl schon über einen längeren Zeitraum geht
Re: geheimnisvolle User
Posted: 2006-01-01 18:52
by cat
hiho
und dieser prozess "server_linux" gehoert afaik zu teamspeak (ist eher ungewoehnlich, dass da so viele von laufen)
greetZ
Cat
Re: geheimnisvolle User
Posted: 2006-01-01 19:11
by lars007
Vielen Dank euch beiden für die Antworten. Ich habe mich mal wieder nicht ausführlich genug ausgedrückt, entschuldigt das bitte.
Ich kenne die User als solches, das sind von mir über Confixx angelegte Systemuser - und ich weiß auch, was da läuft, das sind alles von mir angelegte Prozesse. Die TeamSpeaks sind auch ok, das sind um die zehn Server und das stimmt schon.
Ich habe den Server mittel rkhunter auf Rootkits geprüft, außerdem gehen mir stündlich alle auffälligen Logfileauszüge der wichtigsten System- und Serverlogs zu. Der Load ist normal und es wird auch kein übermäßiger Traffic protokolliert (Serverexternes Logging). Es sind keine Ports über netstat sichtbar, die nicht offen sein sollen. Da sich auch keine wirklich geheinem Daten auf dem Server finden, die es zu hacken lohnen würde, schließe ich ein Rootkit oder ähnliches mit an Sicherheit grenzender Warscheinlichkeit aus.
Es muss daher noch eine andere Lösung geben, warum derart viele User als eingeloggt erscheinen, obwohl sie es nicht sind.
Gruß,
Lars
Re: geheimnisvolle User
Posted: 2006-01-01 19:16
by cat
was sagt denn "who"?
Re: geheimnisvolle User
Posted: 2006-01-01 19:54
by lars007
who sagt ganz viel, die entsprechenden User sind alle so aufgeführt (`who -a` Ausgabe):
Code: Select all
web0 ? pts/1001 Dec 9 22:50 ? 9354 (pXXXXXXXX.dip0.t-ipconnect.de)
Die entsprechende PID (9354) ist allerdings gar nicht mehr vorhanden, kann also von mir auch nicht mehr gekillt werden.
Code: Select all
# lsof | grep web35
# who -a | grep web35
web35 ? pts/1192 Dec 25 14:00 ? 25316 (pXXXXXXXX.dip0.t-ipconnect.de)
web35 ? pts/1194 Dec 25 14:46 ? 28366 (pXXXXXXXX.dip0.t-ipconnect.de)
web35 ? pts/1199 Dec 25 15:39 ? 29876 (pXXXXXXXX.dip0.t-ipconnect.de)
web35 ? pts/1218 Dec 26 14:01 ? 28992 (pXXXXXXXX.dip0.t-ipconnect.de)
# kill 28992
bash: kill: (28992) - Kein passender Prozess gefunden
# kill 29876
bash: kill: (29876) - Kein passender Prozess gefunden
# kill 28366
bash: kill: (28366) - Kein passender Prozess gefunden
# kill 25316
bash: kill: (25316) - Kein passender Prozess gefunden
Auch der pstree sieht ganz in Ordnung aus:
Code: Select all
# pstree
init-+-cron
|-5*[eggdrop]
|-events/0-+-aio/0
| |-kblockd/0
| |-kcryptd/0
| |-khelper
| `-2*[pdflush]
|-httpd2-prefork-+-11*[httpd2-prefork]
| `-pipelog.pl
|-ircd
|-kapmd
|-kjournald
|-klogd
|-kseriod
|-ksoftirqd/0
|-kswapd0
|-6*[mingetty]
|-mysqld_safe---mysqld---mysqld---mysqld
|-oidentd
|-portmap
|-3*[psybnc]
|-saslauthd---4*[saslauthd]
|-screen---bash
|-sendmail
|-sendmail---sendmail
|-server_linux---server_linux---31*[server_linux]
|-spamd
|-srvx
|-sshd-+-bash---su---bash---pstree
| `-sshd
|-sshd
|-syslogd
`-xinetd
Ich habe mal ein wenig an den Alive-Settings geschraubt, aber wie kriege ich die bereits bestehenden User abgeschossen?
Re: geheimnisvolle User
Posted: 2006-01-02 09:44
by lord_pinhead
1) Hast du wirklich ein irc deamon installiert?
2) Wenn ein Bot installiert ist der Spammen oder ein DoS fahren soll, wirst du das glaub ich früh genug merken
3) was sagt ls -la /tmp ? Nur so zur Info ob da was drinliegt.
Hast du ein anderen Linuxrechner zur hand? Wenn ja, versuch mal netstat, find und lsof von dort rüberzukopieren und dann mittels ./netstat -tupa ausführen, dann hast du wenigstens ein sauberes ergebniss. kannst auch von einer anderen Kiste mal einen nmap Scan machen um auf Nummer sicher zu gehen. Ansonsten kann es einfach nur sein das Prozesse irgendwo im speicher hängengeblieben sind, müsstest einfach mal versuchen alle dienste mal runterzufahren, dann sollte bei einen start der Dienst alles wieder OK sein. Passiert mir nur bei Suse, das war einer der Gründe warum ich keine Suse mehr nutze.
Edit: Warum hält sich eigentlich der Glaube das pstree alles anzeigt? ps -axfu ist da für so einen Fall richtig ausführlich.
Re: geheimnisvolle User
Posted: 2006-01-02 10:06
by lars007
Vielen Dank für deine Antwort.
Ja, ich habe wirkliche einen ircd mit dazugehörigem srvx (Channelservices) installiert. Die angezeigten Dienste laufen alle, ich lass grad 'nen nmap rüberlaufen von 'nem Root in einem anderen RZ. Im /tmp is was drin, ja sicher, aber nichts ungewöhnliches.
Ich denke, das Problem waren einfach die fehlenden KeepAlive-Einstellungen im sshd, wodurch kein autologout erfolgte. sshd restart bringt leider auch keine Besserung. Und schon wieder neustarten wollte ich eigentlich nicht
// EDIT: nmap ist ok.