RootForum Community

Hallo!

Ich beobachte sein längerer Zeit einen sehr regelmäßigen Aufruf von su für den User nobody in meiner /var/log/auth.log. Mir ist jedoch nur ein Prozess bekannt, der als nobody läuft und das ist mein openvpn-Gateway. (Debian 4.0 - unstable)
Wie kann ich rausfinden, von welchem Prozess dieser Aufruf stammt? Ich habe keine mir bekannten Cronjobs unter nobody laufen, außerdem irritiert mich etwas, dass die Aufrufe immer exakt zur gleichen Uhrzeit (6:25 Uhr) jeden Tag stattfinden, was ja eigentlich für einen cronjob sprechen würde. Die PID, die für den su-Aufruf angegeben wird existiert leider dann nicht mehr. Ich kann aber auch nicht die ganze Nacht vor dem Server sitzen und mit in top anschauen, welcher Prozess als User nobody läuft. Woran könnte das liegen?

Wie gesagt, ich habe nur einen Daemon als nobody laufen und das ist openvpn. Sind sonst noch irgend welche Maintainance-Scripte bekannt, die als nobody laufen? Nobody hat bei mir keine login-Shell und auch kein Home-Verzeichnis.

Danke und Grüße

Nico

Hast du auch alle Quellen für Crontabs geprüft; /etc/cron.{daily,weekly,monthly,d}, /etc/crontab usw.?

Der crond läuft normalerweise als Benutzer root (damit er die UID wechseln kann) und gibt die Rechte dann nach Bedarf ab.

Da hat sich der User root zum User nobody gemacht, also nix gefährliches. Andersrum wäre es schlimmer :)

von der Zeit her könnte das logrotate sein, oder?

flo wrote:von der Zeit her könnte das logrotate sein, oder?

den hatte ich auch schon im verdacht, werde bei gelegenheit noch mal alle /etc/cron.* durchgehen, und dann wollte ich noch mal schauen, wann die rotierten logfiles erstellt werden, müsste ja dann nach deiner theorie um 6:25 sein oder

grüße

nico

Yep, standardmäßig wird cron.daily um 6:25 ausgeführt - was sich in der /etc/crontab aber auch gut nachschauen lässt.

Aber logrotate als nobody..?