Sehr komische Logs...

[aLca]

Aloha, mein root spinnt aktuell etwas, lahmt etwas derbe, wobei da eigentlich nur schonende sachen "rennen". Hab mich dann mal auf die suche begeben, und bischen in den Logs geschnüffelt. Der auth.log sieht in etwa so aus ->

Dec 30 22:56:01 ns38527 CRON[6292]: pam_unix(cron:session): session opened for user root by (uid=0)
Dec 30 22:56:03 nsxxxxx getty[6339]: ttyS0: ioctl: Input/output error
Dec 30 22:56:06 nsxxxxx CRON[6292]: pam_unix(cron:session): session closed for user root
Dec 30 22:56:13 nsxxxxx getty[6363]: ttyS0: ioctl: Input/output error
Dec 30 22:56:23 nsxxxxx getty[6372]: ttyS0: ioctl: Input/output error
Dec 30 22:56:33 nsxxxxx getty[6380]: ttyS0: ioctl: Input/output error
Dec 30 22:56:43 nsxxxxx getty[6381]: ttyS0: ioctl: Input/output error
Dec 30 22:56:53 nsxxxxx getty[6382]: ttyS0: ioctl: Input/output error
Dec 30 22:57:01 nsxxxxx CRON[6383]: pam_unix(cron:session): session opened for user root by (uid=0)
Dec 30 22:57:03 nsxxxxx getty[6428]: ttyS0: ioctl: Input/output error
Dec 30 22:57:07 nsxxxxx CRON[6383]: pam_unix(cron:session): session closed for user root
Dec 30 22:57:13 nsxxxxx getty[6432]: ttyS0: ioctl: Input/output error
Dec 30 22:57:23 nsxxxxx getty[6433]: ttyS0: ioctl: Input/output error
Dec 30 22:57:33 nsxxxxx getty[6441]: ttyS0: ioctl: Input/output error
Dec 30 22:57:43 nsxxxxx getty[6442]: ttyS0: ioctl: Input/output error
Dec 30 22:57:53 nsxxxxx getty[6443]: ttyS0: ioctl: Input/output error
Dec 30 22:58:01 nsxxxxx CRON[6444]: pam_unix(cron:session): session opened for user root by (uid=0)
Dec 30 22:58:03 nsxxxxx getty[6489]: ttyS0: ioctl: Input/output error
Dec 30 22:58:06 nsxxxxx CRON[6444]: pam_unix(cron:session): session closed for user root
Dec 30 22:58:13 nsxxxxx getty[6493]: ttyS0: ioctl: Input/output error
Dec 30 22:58:23 nsxxxxx getty[6494]: ttyS0: ioctl: Input/output error
Dec 30 22:58:33 nsxxxxx getty[6500]: ttyS0: ioctl: Input/output error
Dec 30 22:58:43 nsxxxxx getty[6503]: ttyS0: ioctl: Input/output error
Dec 30 22:58:53 nsxxxxx getty[6504]: ttyS0: ioctl: Input/output error
Dec 30 22:59:02 nsxxxxx CRON[6505]: pam_unix(cron:session): session opened for user root by (uid=0)
Dec 30 22:59:04 nsxxxxx getty[6508]: ttyS0: ioctl: Input/output error
Dec 30 22:59:11 nsxxxxx CRON[6505]: pam_unix(cron:session): session closed for user root
Dec 30 22:59:13 nsxxxxx getty[6554]: ttyS0: ioctl: Input/output error
Dec 30 22:59:23 nsxxxxx getty[6555]: ttyS0: ioctl: Input/output error
Dec 30 22:59:33 nsxxxxx getty[6556]: ttyS0: ioctl: Input/output error
Dec 30 22:59:43 nsxxxxx getty[6564]: ttyS0: ioctl: Input/output error
Dec 30 22:59:53 nsxxxxx getty[6565]: ttyS0: ioctl: Input/output error
Dec 30 23:00:01 nsxxxxx CRON[6567]: pam_unix(cron:session): session opened for user root by (uid=0)
Dec 30 23:00:04 nsxxxxx CRON[6566]: pam_unix(cron:session): session opened for user root by (uid=0)
Dec 30 23:00:07 nsxxxxx getty[6582]: ttyS0: ioctl: Input/output error
Dec 30 23:00:08 nsxxxxx CRON[6567]: pam_unix(cron:session): session closed for user root
Dec 30 23:00:09 nsxxxxx CRON[6566]: pam_unix(cron:session): session closed for user root
Dec 30 23:00:13 nsxxxxx getty[6657]: ttyS0: ioctl: Input/output error
Dec 30 23:00:23 nsxxxxx getty[6658]: ttyS0: ioctl: Input/output error
Dec 30 23:00:33 nsxxxxx getty[6659]: ttyS0: ioctl: Input/output error
Dec 30 23:00:43 nsxxxxx getty[6667]: ttyS0: ioctl: Input/output error

Das ist permanent so, im 10 Sekunden takt, und habe absolut keine ahnung, was damit gemeint sein könnte.

Der Syslog sieht teilweise genauso schlimm aus.

Dec 30 22:52:03 nsxxxxx /USR/SBIN/CRON[5974]: (root) CMD (/usr/local/rtm/bin/rtm 8 > /dev/null 2> /dev/null)
Dec 30 22:52:03 nsxxxxx init: ttyS0 main process (5972) terminated with status 1
Dec 30 22:52:03 nsxxxxx init: ttyS0 main process ended, respawning
Dec 30 22:52:12 nsxxxxx init: ttyS0 main process (6018) terminated with status 1
Dec 30 22:52:13 nsxxxxx init: ttyS0 main process ended, respawning

Auch hier, bilden sich nur 3 Fragezeichen über meinem Kopf...

Und nochmal, das selbe in Grün im daemon.log...

Dec 30 23:05:24 nsxxxxx 527 init: ttyS0 main process ended, respawning
Dec 30 23:05:34 nsxxxxx init: ttyS0 main process (7110) terminated with status 1
Dec 30 23:05:34 nsxxxxx init: ttyS0 main process ended, respawning

System wäre dann Ubuntu 8.04, auf einem OVH root.

 

[djrick]

Wenn ich das richtig im Kopf habe ist ttyS0 ein Serieller Port. Ich nehme mal an, er wird genutzt um im Notfall auf den Server zu kommen?!

 

[Roger Wilco]

Wenn keine serielle Konsole an den Server angeschlossen ist, kannst du deine /etc/inittab anpassen und die Einträge für die seriellen Terminals auskommentieren bzw. löschen. Falls eine serielle Konsole angeschlossen ist, solltest du dich an deinen Provider wenden.

 

[aLca]

Uff gleich 2 Antworten. Sehr nice. Es kann möglich sein, das er dazu dient, aber trotzdem sehr strange.

Und die /etc/inittab ist leer.

 

[djrick]

Bietet OHV denn ne Serielle Konsole für den Notfall an?

 

[Roger Wilco]

Und die /etc/inittab ist leer.

Dann ist dein System kaputt, du benutzt kein OS mit SysV-Init oder du verwendest ein exotisches Initsystem.

 

[aLca]

Dann ist dein System kaputt, du benutzt kein OS mit SysV-Init oder du verwendest ein exotisches Initsystem.

Is halt ein 0815 Ubuntu 8.04 Was wäre denn, wenn es exotisch wäre, wo müsste ich denn dann schauen?

 

[blupp1]

@djrick OVH bietet keine serielle Console an!

 

[aLca]

Hat denn nun niemand eine idee, was es sein könnte? Meine Platten stehen unter voll last. Ein Refresh im Browser zerrt sich hin... Auch, wenn da einige andere Prozesse laufen, wie tor.... Aber das war vorher nicht so. (

 

[Roger Wilco]

Ein Refresh im Browser zerrt sich hin... Auch, wenn da einige andere Prozesse laufen, wie tor.... Aber das war vorher nicht so. (

Wenn Prozesse laufen, die du nicht kennst und nicht gestartet hast, könnte dein System kompromittiert worden sein. Das solltest du (möglichst noch dieses Jahr ) prüfen und ggf. den Server herunterfahren oder im Rescue-System starten, bis du den Einbruch analysieren und das System neu aufsetzen kannst.

 

[aLca]

Nein, das kann ich aufjedenfall ausschließen.

 

[dexter]

a) Wie bist Du vorgegangen um die Kompromittierung des Servers auszuschliessen?

b) "TOR" würde ich nicht gerade zu den "schonenden Sachen" zählen. Speziell da OVH -- wenn ich das richtig in Erinnerung habe -- solche Anwendungen auf ihren Servern verbieten.

c) Strukturiertes Ausschlussverfahren: Dienst für Dienst deaktivieren und schauen ob's was bringt.

d) Gerade gegoogelt: Ubuntu verwendet "upstart" statt init. Konfiguration liegt unter "/etc/init/jobs.d" -- grep da mal nach ttyS0.

 

[aLca]

a) Wie bist Du vorgegangen um die Kompromittierung des Servers auszuschliessen?

Prozesse und Logs abgeklappert.

b) "TOR" würde ich nicht gerade zu den "schonenden Sachen" zählen. Speziell da OVH -- wenn ich das richtig in Erinnerung habe -- solche Anwendungen auf ihren Servern verbieten.

Ich weiss, das P2P nicht gern gesehen wird, aber es laufen (auch wenns mir nun niemand glauben wird, nur Ingame-Videos, Patch Downloads, etcpp) das sollte ja im legalen rahmen sein. Nutze rTorrent, das ist ein Consolen Client, der sehr schonend ist.

c) Strukturiertes Ausschlussverfahren: Dienst für Dienst deaktivieren und schauen ob's was bringt.

Eieiei, das wird ne Arbeit! Aber werds mal durch gehen.

d) Gerade gegoogelt: Ubuntu verwendet "upstart" statt init. Konfiguration liegt unter "/etc/init/jobs.d" -- grep da mal nach ttyS0.

Ist leider nichts zu finden.

Edit: Habe weder die /etc/init(?)/jobs.d, weder noch /etc/inittab.

Ein im top siehts nun so aus:

root      2789  0.0  0.0   1712   484 tty4     Ss+   2008   0:00 /sbin/getty 38400 tty4
root      2790  0.0  0.0   1712   484 tty5     Ss+   2008   0:00 /sbin/getty 38400 tty5
root      2792  0.0  0.0   1712   480 tty2     Ss+   2008   0:00 /sbin/getty 38400 tty2
root      2793  0.0  0.0   1712   484 tty3     Ss+   2008   0:00 /sbin/getty 38400 tty3
root      2794  0.0  0.0   1712   480 tty6     Ss+   2008   0:00 /sbin/getty 38400 tty6

Wie erwähnt, sollen dies für Serielle Verbindung sein, die irgendwo einer Config (die bei mir nicht da sind ) Automatisch auf ständigen Respawn stehen. Nun ist die Frage nur wo...

 

[nikosch]

probiers mal mit "/etc/init.d/jobs.d"

Ausserdem würde ich Dir, nach dem was ich hier so gelesen habe, eine managed Server Lösung empfehlen.

 

[aLca]

/etc/init.d/jobs.d Ist auch nicht vorhanden.

Mag sein, das ich imo nicht der fiteste bin was so sachen angeht, aber in sachen sicherheit, bin ich mir wohl bewusst, was ich zutuhen habe.

 

[nikosch]

ich wollte mit der Aussage bzgl. managed Server nicht Deine Fähigkeiten bewerten.
Es geht mir eher darum, dass man sich sehr leicht in Gefahr bringt, schließlich haftest Du dafür wenn jemand (auch ohne Dein Wissen) von deinem Server aus strafbare Handlungen vollzieht.

Zu Deinem Problem, ich glaube das ist genau wonach du suchst:
TuxTraining - Ubuntu Upstart

 

[dexter]

Prozesse und Logs abgeklappert.

Das genügt in keiner Weise, um eine Kompromittierung auszuschliessen. Wenn jemand Deinen Server für böse Dinge verwenden will -- und genau das ist in 99% der Einbrüche der Fall --, dann sorgt dieser Jemand nach gelungenem Einbruch als allererstes dafür, daß Du mit den installierten Bordmitteln nicht mehr erkennen kannst daß er/sie sich eingenistet hat. Die Tools für eine solche Verschleierung nennt man "Rootkit".

Du solltest unbedingt ein sauberes System booten (heisst bei OVH "Netboot Rescue Pro"), und aus vertrauenswürdiger Quelle mindestens einen Rootkit-Detektor herunterladen und ausführen.

Weitere Tipps findest Du im Netz.

Ich weiss, das P2P nicht gern gesehen wird, aber es laufen (auch wenns mir nun niemand glauben wird, nur Ingame-Videos, Patch Downloads, etcpp) das sollte ja im legalen rahmen sein. Nutze rTorrent, das ist ein Consolen Client, der sehr schonend ist.

Du sprachst von TOR. TOR ist ein Anonymisierungsdienst, und wenn ich mich recht entsinne haben OVH wegen Standort Frankreich mit solchen Diensten als Provider ein potenzielles rechtliches Problem.

Davon abgesehen wüsste ich keinen Grund für die Verwendung eines P2P-Clients auf einem Server, das wäre mir viel zu heikel. Aber ich betreibe auch keinen Gameserver, vielleicht bekommt man da Updates ja nur auf diesem Weg.

root 2789 0.0 0.0 1712 484 tty4 Ss+ 2008 0:00 /sbin/getty 38400 tty4
...
Wie erwähnt, sollen dies für Serielle Verbindung sein...

Nein, tty<N> sind nicht die seriellen Verbindungen, sondern die normalen Keyboard-Konsolen. ttyS<N> sind die seriellen.

 

[aLca]

ich wollte mit der Aussage bzgl. managed Server nicht Deine Fähigkeiten bewerten.
Es geht mir eher darum, dass man sich sehr leicht in Gefahr bringt, schließlich haftest Du dafür wenn jemand (auch ohne Dein Wissen) von deinem Server aus strafbare Handlungen vollzieht.

Zu Deinem Problem, ich glaube das ist genau wonach du suchst:
TuxTraining - Ubuntu Upstart

Klar, weiss ich, das ich dann hafte. Btw, der Link war doch ziemlich hilfreich.

Dexter: OVH hat sowas integriert im Manager glaube ich, womit man Rootkits suchen kann. Werd das mal drauflaufen lassen.

Denke mal, das Thema ist durch, da ich nun weiss, was es ist.

 

[TamCore]

Was die getty betrifft, hätteste dir ja mal Wie schaltet man die Getty's ab? - huschi.net anschauen können, da hatte ich in nem Kommentar geschrieben wie es unter Ubuntu geht

 

[aLca]

Was die getty betrifft, hätteste dir ja mal Wie schaltet man die Getty's ab? - huschi.net anschauen können, da hatte ich in nem Kommentar geschrieben wie es unter Ubuntu geht

Nice,... Hab nurs nicht unter google gefunden.