[Prozesse] bitte um Analyse

F

forquato

New Member
Hallo,

habe meinen Server fertig eingerichtet. Nun kommen mir einige Prozesse komisch vor.

Hier die Ausgabe von "ps faux"

Code: 
root@balrog [~]# cat test
USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root         1  0.0  0.0  10344   724 ?        Ss   Sep14   0:00 init [3]
root         2  0.0  0.0      0     0 ?        S<   Sep14   0:00 [migration/0]
root         3  0.0  0.0      0     0 ?        SN   Sep14   0:00 [ksoftirqd/0]
root         4  0.0  0.0      0     0 ?        S<   Sep14   0:00 [watchdog/0]
root         5  0.0  0.0      0     0 ?        S<   Sep14   0:00 [migration/1]
root         6  0.0  0.0      0     0 ?        SN   Sep14   0:00 [ksoftirqd/1]
root         7  0.0  0.0      0     0 ?        S<   Sep14   0:00 [watchdog/1]
root         8  0.0  0.0      0     0 ?        S<   Sep14   0:00 [events/0]
root         9  0.0  0.0      0     0 ?        S<   Sep14   0:00 [events/1]
root        10  0.0  0.0      0     0 ?        S<   Sep14   0:00 [khelper]
root        27  0.0  0.0      0     0 ?        S<   Sep14   0:00 [kthread]
root        32  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kblockd/0]
root        33  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kblockd/1]
root        34  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kacpid]
root       130  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [cqueue/0]
root       131  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [cqueue/1]
root       134  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [khubd]
root       136  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kseriod]
root       206  0.0  0.0      0     0 ?        S    Sep14   0:00  \_ [pdflush]
root       207  0.0  0.0      0     0 ?        S    Sep14   0:00  \_ [pdflush]
root       208  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kswapd0]
root       209  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [aio/0]
root       210  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [aio/1]
root       355  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kpsmoused]
root       387  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [ata/0]
root       388  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [ata/1]
root       389  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [ata_aux]
root       393  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [scsi_eh_0]
root       394  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [scsi_eh_1]
root       401  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kstriped]
root       414  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kjournald]
root       441  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kauditd]
root      1369  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kmpathd/0]
root      1370  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kmpathd/1]
root      1371  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kmpath_handlerd]
root      1402  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kjournald]
root      1639  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kjournald]
root      1688  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kondemand/0]
root      1689  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kondemand/1]
root       475  0.0  0.0  12600   776 ?        S<s  Sep14   0:00 /sbin/udevd -d
root      1638  0.0  0.0      0     0 ?        S<   Sep14   0:00 [loop0]
root      2096  0.0  0.0   5904   600 ?        Ss   Sep14   0:00 syslogd -m 0
root      2099  0.0  0.0   3800   428 ?        Ss   Sep14   0:00 klogd -x
dbus      2165  0.0  0.0  21256   900 ?        Ss   Sep14   0:00 dbus-daemon --system
root      2213  0.0  0.0  21148  1344 ?        Ssl  Sep14   0:00 pcscd
root      2232  0.0  0.0  60524  1148 ?        Ss   Sep14   0:00 /usr/sbin/sshd
root      9488  0.0  0.1  90136  3364 ?        Ss   Sep14   0:00  \_ sshd: root@pts/1
root      9491  0.0  0.0  66176  1628 pts/1    Ss   Sep14   0:00      \_ -bash
root     22938  0.0  0.0  65548   964 pts/1    R+   00:11   0:00          \_ ps faux
root      2244  0.0  0.0  65916  1268 ?        S    Sep14   0:00 /bin/sh /usr/bin/mysqld_safe --datadir=/var/lib/mysql --pid-file=/var/lib/mysql/balrog.domainstudio.biz.pid
mysql     2268  0.0  1.0 208776 21544 ?        Sl   Sep14   0:00  \_ /usr/sbin/mysqld --basedir=/ --datadir=/var/lib/mysql --user=mysql --pid-file=/var/lib/mysql/balrog.domainstudio.biz.pid --skip-external-locking
root      2934  0.0  0.0   6072   536 ?        Ss   Sep14   0:00 /usr/sbin/dovecot
root      2937  0.0  0.0  14760   964 ?        S    Sep14   0:00  \_ dovecot-auth
dovecot   2942  0.0  0.0  33868  1996 ?        S    Sep14   0:00  \_ pop3-login
dovecot   2943  0.0  0.0  33868  2000 ?        S    Sep14   0:00  \_ pop3-login
dovecot   2944  0.0  0.0  33876  2020 ?        S    Sep14   0:00  \_ imap-login
dovecot   2945  0.0  0.0  33876  2020 ?        S    Sep14   0:00  \_ imap-login
domainst  9685  0.0  0.0  11384  1684 ?        S    Sep14   0:00  \_ imap
domainst 10152  0.0  0.0  11144  1508 ?        S    Sep14   0:00  \_ imap
tuxguide 10715  0.0  0.0  11180  1648 ?        S    Sep14   0:00  \_ imap
root      2946  0.0  0.2  71228  4184 ?        Ss   Sep14   0:00 /usr/local/apache/bin/httpd -k start -DSSL
nobody    3008  0.0  0.1  71140  2660 ?        S    Sep14   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
tuxguide  3313  0.0  1.8 205652 38388 ?        S    Sep14   0:01  |   \_ php5
domainst 18517  0.3  1.5 204756 32692 ?        S    Sep14   0:03  |   \_ php5
nobody   11597  0.0  0.1  71488  4036 ?        S    Sep14   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   17950  0.0  0.1  71500  3912 ?        S    Sep14   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   20788  0.0  0.1  71504  3848 ?        S    00:03   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   21896  0.0  0.1  71504  3844 ?        S    00:08   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   21897  0.0  0.1  71632  3888 ?        S    00:08   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   21901  0.0  0.1  71364  3772 ?        S    00:08   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   21902  0.0  0.1  71500  3840 ?        S    00:08   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   21918  0.0  0.1  71364  3756 ?        S    00:08   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   21919  0.0  0.2  72036  4112 ?        S    00:08   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
nobody   21920  0.0  0.1  71488  3956 ?        S    00:08   0:00  \_ /usr/local/apache/bin/httpd -k start -DSSL
root      2960  0.0  0.0  93280  1680 ?        Ss   Sep14   0:00 pure-ftpd (SERVER)
root      2964  0.0  0.0  90972  1192 ?        S    Sep14   0:00 /usr/sbin/pure-authd -s /var/run/ftpd.sock -r /usr/sbin/pureauth
root      2979  0.0  0.0  74800  1152 ?        Ss   Sep14   0:00 crond
root      3223  0.0  0.4  97276  8752 ?        Ss   Sep14   0:00 /usr/sbin/munin-node
root      3349  0.0  0.3  40416  6756 ?        Ss   Sep14   0:00 cPhulkd - processor
root      3382  0.0  0.7 103696 15212 ?        S    Sep14   0:00 cpdavd - accepting connections on 2077 and 2078
root      3387  0.0  0.1  28060  2664 ?        SN   Sep14   0:00 cpanellogd - sleeping for logs
root      3418  0.0  0.4  47892  9660 ?        Ss   Sep14   0:00 tailwatchd
avahi     3454  0.0  0.0  23276  1392 ?        Ss   Sep14   0:00 avahi-daemon: running [balrog.local]
avahi     3455  0.0  0.0  23144   344 ?        Ss   Sep14   0:00  \_ avahi-daemon: chroot helper
root      3596  0.0  0.6  95412 13304 ?        S    Sep14   0:00 cpsrvd - waiting for connections
root     22937  0.0  0.0      0     0 ?        Z    00:11   0:00  \_ [cpsrvd-ssl] <defunct>
68        3618  0.0  0.1  30700  3912 ?        Ss   Sep14   0:00 hald
root      3619  0.0  0.0  21688  1176 ?        S    Sep14   0:00  \_ hald-runner
68        3626  0.0  0.0  12320   860 ?        S    Sep14   0:00      \_ hald-addon-acpi: listening on acpi kernel interface /proc/acpi/event
68        3633  0.0  0.0  12320   856 ?        S    Sep14   0:00      \_ hald-addon-keyboard: listening on /dev/input/event1
root      3666  0.0  0.0   3808   336 ?        Ss   Sep14   0:00 /usr/sbin/portsentry -tcp
root      3679  0.0  2.2 119156 46580 ?        S    Sep14   0:00 /usr/bin/perl /usr/local/assp/assp.pl /usr/local/assp
root      3714  0.0  0.0  18412   576 ?        S    Sep14   0:00 /usr/sbin/smartd -q never
root      3717  0.0  0.0   3788   484 tty1     Ss+  Sep14   0:00 /sbin/mingetty tty1
root      3718  0.0  0.0   3788   488 tty2     Ss+  Sep14   0:00 /sbin/mingetty tty2
root      3719  0.0  0.0   3788   484 tty3     Ss+  Sep14   0:00 /sbin/mingetty tty3
root      3721  0.0  0.0   3788   488 tty4     Ss+  Sep14   0:00 /sbin/mingetty tty4
root      3723  0.0  0.0   3788   484 tty5     Ss+  Sep14   0:00 /sbin/mingetty tty5
root      3732  0.0  0.0   3788   488 tty6     Ss+  Sep14   0:00 /sbin/mingetty tty6
root     19767  0.0  1.1 127096 24344 ?        Ss   00:00   0:00 lfd - sleeping
root     22340  0.0  9.3 219464 191560 ?       Ssl  00:09   0:00 /usr/sbin/clamd
mailnull 22347  0.0  0.0  64316  1232 ?        Ss   00:09   0:00 /usr/sbin/exim -bd -q60m
mailnull 22355  0.0  0.0  64320  1160 ?        Ss   00:09   0:00 /usr/sbin/exim -tls-on-connect -bd -oX 465


1. Der erste Punkt der mir auffält. Clamd benötigt fast ganze 10% von meinem Ram. Also um die 200 MB, was sehr viel ist.

Mein System ist CENT OS 5.3 mit dem Kernel 2.6.18-128.7.1.el5.
Wohlgemerkt ist diese clamd-Version (Version ClamAV 0.95.2/9803/Mon Sep 14 06:28:46 2009) von CPanel installiert.

2. Andere Prozesse fallen mir auch auf.

Code: 
root      3717  0.0  0.0   3788   484 tty1     Ss+  Sep14   0:00 /sbin/mingetty tty1
root      3718  0.0  0.0   3788   488 tty2     Ss+  Sep14   0:00 /sbin/mingetty tty2
root      3719  0.0  0.0   3788   484 tty3     Ss+  Sep14   0:00 /sbin/mingetty tty3
root      3721  0.0  0.0   3788   488 tty4     Ss+  Sep14   0:00 /sbin/mingetty tty4
root      3723  0.0  0.0   3788   484 tty5     Ss+  Sep14   0:00 /sbin/mingetty tty5
root      3732  0.0  0.0   3788   488 tty6     Ss+  Sep14   0:00 /sbin/mingetty tty6

* Dies ist wohl für die einzelnen Terminalschichten? Aber notwendig auf einem
Server?



Code: 
68        3618  0.0  0.1  30700  3912 ?        Ss   Sep14   0:00 hald
root      3619  0.0  0.0  21688  1176 ?        S    Sep14   0:00  \_ hald-runner
68        3626  0.0  0.0  12320   860 ?        S    Sep14   0:00      \_ hald-addon-acpi: listening on acpi kernel interface /proc/acpi/event
68        3633  0.0  0.0  12320   856 ?        S    Sep14   0:00      \_ hald-addon-keyboard: listening on /dev/input/event1

Notwendig auf einem Server?



Code: 
avahi     3454  0.0  0.0  23276  1392 ?        Ss   Sep14   0:00 avahi-daemon: running [balrog.local]
avahi     3455  0.0  0.0  23144   344 ?        Ss   Sep14   0:00  \_ avahi-daemon: chroot helper

Notwendig auf einem Server?



Andere Prozesse wie
Code: 
root         2  0.0  0.0      0     0 ?        S<   Sep14   0:00 [migration/0]
root         3  0.0  0.0      0     0 ?        SN   Sep14   0:00 [ksoftirqd/0]
root         4  0.0  0.0      0     0 ?        S<   Sep14   0:00 [watchdog/0]
root         5  0.0  0.0      0     0 ?        S<   Sep14   0:00 [migration/1]
root         6  0.0  0.0      0     0 ?        SN   Sep14   0:00 [ksoftirqd/1]
root         7  0.0  0.0      0     0 ?        S<   Sep14   0:00 [watchdog/1]
root         8  0.0  0.0      0     0 ?        S<   Sep14   0:00 [events/0]
root         9  0.0  0.0      0     0 ?        S<   Sep14   0:00 [events/1]
root        10  0.0  0.0      0     0 ?        S<   Sep14   0:00 [khelper]
root        27  0.0  0.0      0     0 ?        S<   Sep14   0:00 [kthread]
root        32  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kblockd/0]
root        33  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kblockd/1]
root        34  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kacpid]
root       130  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [cqueue/0]
root       131  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [cqueue/1]
root       134  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [khubd]
root       136  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kseriod]
root       206  0.0  0.0      0     0 ?        S    Sep14   0:00  \_ [pdflush]
root       207  0.0  0.0      0     0 ?        S    Sep14   0:00  \_ [pdflush]
root       208  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kswapd0]
root       209  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [aio/0]
root       210  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [aio/1]
root       355  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kpsmoused]
root       387  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [ata/0]
root       388  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [ata/1]
root       389  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [ata_aux]
root       393  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [scsi_eh_0]
root       394  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [scsi_eh_1]
root       401  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kstriped]
root       414  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kjournald]
root       441  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kauditd]
root      1369  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kmpathd/0]
root      1370  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kmpathd/1]
root      1371  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kmpath_handlerd]
root      1402  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kjournald]
root      1639  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kjournald]
root      1688  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kondemand/0]
root      1689  0.0  0.0      0     0 ?        S<   Sep14   0:00  \_ [kondemand/1]

Geben mir auch nicht viel Information her.

Ich wäre sehr dankbar, wenn sich jemand meine ganz oben gepostete Prozessliste mal anguckt und analysiert.
Anlass dazu sind die in letzter Zeit häufiger auftretenden Attacken auf mein Server.


Als zusätzliche Information Ausgabe von rkhunter

(alles was ok war habe ich ausgeschnitten)
Code: 
root@balrog [/backup/Programme]# rkhunter -c
[ Rootkit Hunter version 1.3.4 ]

Checking system commands...


  Performing file properties checks
    Checking for prerequisites                               [ Warning ]
    /usr/bin/groups                                          [ Warning ]
    /usr/bin/ldd                                             [ Warning ]
    /usr/bin/whatis                                          [ Warning ]
    /sbin/ifdown                                             [ Warning ]
    /sbin/ifup                                               [ Warning ]
 
[Press <ENTER> to continue]


Checking the local host...

  Performing system boot checks
    Checking for local host name                             [ Found ]
    Checking for system startup files                        [ Found ]
    Checking system startup files for malware                [ None found ]

  Performing group and account checks
    Checking for passwd file                                 [ Found ]
    Checking for root equivalent (UID 0) accounts            [ None found ]
    Checking for passwordless accounts                       [ None found ]
    Checking for passwd file changes                         [ Warning ]
    Checking for group file changes                          [ Warning ]
 
  Performing system configuration file checks
    Checking for SSH configuration file                      [ Found ]
    Checking if SSH root access is allowed                   [ Warning ]
    Checking if SSH protocol v1 is allowed                   [ Not allowed ]
    Checking for running syslog daemon                       [ Found ]
    Checking for syslog configuration file                   [ Found ]
    Checking if syslog remote logging is allowed             [ Not allowed ]

  Performing filesystem checks
    Checking /dev for suspicious file types                  [ None found ]
    Checking for hidden files and directories                [ Warning ]

[Press <ENTER> to continue]




System checks summary
=====================

File properties checks...
    Required commands check failed
    Files checked: 130
    Suspect files: 5

Rootkit checks...
    Rootkits checked : 118
    Possible rootkits: 0

Applications checks...
    Applications checked: 8
    Suspect applications: 0

The system checks took: 47 seconds

All results have been written to the logfile (/var/log/rkhunter.log)

One or more warnings have been found while checking the system.
Please check the log file (/var/log/rkhunter.log)


Nun zu avahi:
Meine lfd-firewall meldet:

Time: Tue Sep 15 00:32:35 2009 +0200
Account: avahi
Resource: Process Time
Exceeded: 6421 > 3600 (seconds)
Executable: /usr/sbin/avahi-daemon
Command Line: avahi-daemon: running [balrog.local]
PID: 3454
Killed: No
Click to expand...
 
Last edited by a moderator:
forquato said:
1. Der erste Punkt der mir auffält. Clamd benötigt fast ganze 10% von meinem Ram. Also um die 200 MB, was sehr viel ist.
Click to expand...
Findest Du? 200 MB sind heute ja nicht mehr wirklich viel. Ob das normal ist, kann ich nicht beurteilen, da ich meine Mails nicht auf Viren scanne.
forquato said:
2. Andere Prozesse fallen mir auch auf.
* Dies ist wohl für die einzelnen Terminalschichten? Aber notwendig auf einem Server?
Click to expand...
Nein, die kannst Du bedenkenlos in /etc/inittab auskommentieren. Allerdings solltest Du darauf achten, dass Du die serielle Konsole nicht abschaltest, über die Du Dich remote verbinden kannst -- sofern Dein Server sowas überhaupt hat.

forquato said:
[hald]
Notwendig auf einem Server?
Click to expand...
Nein, kann man bedenkenlos abschalten.

forquato said:
[avahi]
Notwendig auf einem Server?
Click to expand...
Im Gegenteil, das stört nur. Auf jeden Fall abschalten!

Die Prozesse in den [eckigen Klammern] stammen alle vom virtuellen Prozess 2 ab (Spalte PPID bei "ps -ef") und sind interne Kernel-Threads. An denen kannst Du nicht viel ändern.

Sonstiges:
Code: 
root      2213  0.0  0.0  21148  1344 ?        Ssl  Sep14   0:00 pcscd: [COLOR="Red"]unnötig![/COLOR]
root       475  0.0  0.0  12600   776 ?        S<s  Sep14   0:00 /sbin/udevd -d: [COLOR="Red"]entbehrlich[/COLOR]
Falls Du den udevd loswerden willst, musst Du erst vorher ein funktionierendes /dev-Verzeichnis sichern -> Forensuche
 
Vielen Dank.

ich hab jetzt unter den /etc/rcX.d Ordnern folgende Start- EndProzesse gelöscht:

--
haldaemon
pcscd
irda
avahi
--

1. Sollte noch was beachtet werden?

2. Sollten die Prozesse noch irgendwo gelöscht werden außer in den /etc/rcX.d (X steht für 0-6) Ordnern?

Ich habe jetzt die mingetty Prozesse auskommentiert. Zwei habe ich zur Sicherheit gelassen.

root 3645 0.0 0.0 3788 488 tty1 Ss+ 23:14 0:00 /sbin/mingetty tty1
root 3646 0.0 0.0 3788 488 tty2 Ss+ 23:14 0:00 /sbin/mingetty tty2
Click to expand...

Kann man die zwei auch wirklich auch auskommentieren?
Ich greife ja per SSH auf meinen Server zu.
 
Last edited by a moderator:
You must log in or register to reply here.
Back
Top