[SLES9] wie doet su: (to root) root on none ?

[Verwijderd]

Om de een of andere reden is de server vandaag uitgegaan. Snap niet helemaal wat er gebeurd. Google leert mij dat su: (to root) root on none een cron job is, maar er staan helemaal geen cron jobs geplanned voor 12:46 en zeker geen cron jobs die init(0) uitvoeren.

Kan iemand hier iets meer over zeggen ?

code:

Apr 27 12:15:40 www -- MARK --
Apr 27 12:31:56 www kernel: SFW2-INext-DROP-DEFLT IN=eth0 OUT= MAC=00:15:f2:99:cd:ae:00:12:1e
:0f:47:f0:08:00 SRC=83.5.59.27 DST=83.96.138.90 LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=58415 DF
 PROTO=TCP SPT=3405 DPT=139 WINDOW=16384 RES=0x00 SYN URGP=0 OPT (020405B401010402)
Apr 27 12:31:59 www kernel: SFW2-INext-DROP-DEFLT IN=eth0 OUT= MAC=00:15:f2:99:cd:ae:00:12:1e
:0f:47:f0:08:00 SRC=83.5.59.27 DST=83.96.138.90 LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=58778 DF
 PROTO=TCP SPT=3405 DPT=139 WINDOW=16384 RES=0x00 SYN URGP=0 OPT (020405B401010402)
Apr 27 12:46:33 www su: (to root) root on none
Apr 27 12:46:33 www su: pam_unix2: session started for user root, service su
Apr 27 12:46:33 www su: pam_unix2: session finished for user root, service su
Apr 27 12:46:33 www su: (to root) root on none
Apr 27 12:46:33 www su: pam_unix2: session started for user root, service su
Apr 27 12:46:33 www su: pam_unix2: session finished for user root, service su
Apr 27 12:46:33 www init: Switching to runlevel: 0
Apr 27 12:46:34 www sshd[7202]: Received signal 15; terminating.
Apr 27 12:46:35 www SuSEfirewall2: Firewall rules unloaded.
Apr 27 12:46:35 www kernel: Kernel logging (proc) stopped.
Apr 27 12:46:35 www kernel: Kernel log daemon terminating.
Apr 27 12:46:36 www exiting on signal 15

[xzenor]

Zekerweten?
Je systeem zelf heeft ook zijn eigen cron he.. check /etc/crontab maar (ik neem aan dat dat op elk systeem hetzelfde is).

[ Voor 19% gewijzigd door xzenor op 28-04-2006 11:54 ]

[zomertje]

Is je systeem niet gehackt ofzo? Of heb je een firewall/tool draaien die bij bepaalde poging tot hacken je systeem down brengt?

[xzenor]

ik snap niet waarom iemand dan het systeem down zou brengen als ie ingebroken heeft. dan ben je je verbiinding gelijk kwijt.

[deepbass909]

Er zijn hackers die er op uit een systeem plat te leggen. Je server uitzetten is daar een verdomd effectieve methode voor, vooral als hij in een serverpark staat waar je niet 1,2,3 bij kan.

[Verwijderd]

Gehackt ?
Lijkt me zeer onwaarschijnlijk, server stond koud anderhalf uur in het datacenter. In de firewall wordt alleen SSH doorgelaten en gelogd. Root login's staan uit voor SSH en alle patches voor SLES 9 zijn geinstalleerd. Gelukkig kunnen we remote de power switch omzetten, maar toch wil ik weten wat er is gebeurd.

Cronjobs allemaal nagelopen, maar niets gevonden. Ook klopt de tijd niet, om :46 staat er niets in de crontab.

[koffiedrinker]

Heb je aan de volgende zaken gedacht, de crondaemon draait elk kwartier om te zien of er nog taken zijn om te worden uitgevoerd. Op mijn server is dat ook om :46, dus het kan nog steeds een cronjob zijn.
Verder kan ssh login voor root wel uitstaan, maar dat geeft je nog geen bescherming voor mensen die inloggen op een normale account en dan via sudo of su switchen naar root. En in je log is juist dat te zien. Misschien is een van je normale accounts gehackt? Of toch nog ergens een verdwaalde cronjob?

[ Voor 2% gewijzigd door koffiedrinker op 28-04-2006 16:25 . Reden: typo ]

[Verwijderd]

wanneer een normale gebruiker su uitvoerd:

code:

Apr 28 08:53:22 www su: (to root) linuxgeek on /dev/pts/0

Daarom denk ik dus dat het een cronjob is, maar ik kan geen vreemde cronjobs vinden.
Is het met ACPI of APM mogelijk dat, wanneer iemand de powerswitch indrukt, er een script su doet en vervolgens init(0) start ?

[koffiedrinker]

Persoonlijk ken ik geen scripts die dit doen. Het is echter wel mogelijk via acpi.

[daft_dutch]

koffiedrinker schreef op vrijdag 28 april 2006 @ 17:57:
Persoonlijk ken ik geen scripts die dit doen. Het is echter wel mogelijk via acpi.

mogelijk er is een acpi script dat luistert naar je powerbutton
deze wordt bij debian geinstaleert als je acpid apt-get

daarbij google verteld je niks
het zijn internet pagina's die je zooi vertellen en die kunnen ook fout zijn

je kan cron commands laten loggen

/etc/syslog.conf

code:

#cron.*                         /var/log/cron.log

unquoten

als je helemaal paranoia bent geworden
tijdelijk!! een

code:

*                         /var/log/everything

maken daar mee wordt alles gelogt in een file.
als je een onbekend probleem zoekt eigenlijk wel zo makkelijk