Dynamic rules states

[RiCk]

We zitten net op een nieuwe webserver en we worden gek (en onze provider ook) van deze meldingen

code:

> 03900  1   29 (6s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 27090
> 03900  9  261 (3s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 35026
> 03900  0    0 (1s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 2514
> 03900  6  174 (7s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 12499
> 03900  4  116 (6s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 13779
> 03900  4  116 (6s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 27347
> 03900  1   29 (6s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 62931
> 03900  4  116 (6s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 5587
> 03900  2   58 (6s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 34003
> 03900  2   58 (6s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 11987
> 03900  3   87 (5s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 34771
> 03900  5  145 (5s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 33491
> 03900  3   87 (5s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 26067
> 03900  6  174 (4s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 53203
> 03900  2   58 (4s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 59347
> 03900  4  116 (4s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 41939
> 03900  6  174 (3s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 30931
> 03900  2   58 (3s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 27091
> 03900  1   29 (3s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 41171
> 03900  6  174 (3s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 29139
> 03900 22  638 (2s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 27603
> 03900  8  232 (1s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 36051
> 03900  6  174 (1s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 4307
> 03900  1   29 (1s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 36307
> 03900  7  203 (1s) STATE udp 194.***.***.*** 56297 <-> 201.78.94.27 13267

Wij denken dat het een Perl/CGI script is maar kunnen niets vinden...
Vanochtend is dit gestopt....

code:

www     50992 94.5  0.3  2996  2608  ??  R    11:50PM 628:26.30> /usr/local/apache/bin/httpd -DSSL (perl5.8

Maar ik heb gewoon geen idee waar het kan zitten....

[ Voor 15% gewijzigd door RiCk op 24-07-2006 11:38 ]

[igmar]

Ik denk dat het een kernel melding is. Maar goed, met je wel erg summiere post kan niemand echt wat. Om te beginnen : waar staan de meldingen ? Console, logfiles ?

[RiCk]

De firewall.
Heb wel iets verstand van linux bakken, maar niet hiervan; heb dus geen idee...

[smesjz]

Dat je Apache server 94% CPU gebruikt is ook niet normaal, gezien die 628 minuten aan CPU tijd. Dat is echt __heel__ veel.
Geen idee wat die poort 56297 doet.

Je kan natuurlijk die braziliaan firewallen:

iptables -I INPUT -s 201.78.94.27 -j REJECT

Je kan natuurlijk je provider vragen om e.e.a. in de gaten te houden. Via strace kan je verder in Apache duiken, maar dit heeft alleen maar zin als je weet wat die strace output betekent.

Andere manier is natuurlijk het uitschakelen van CGI scripts door alle ScriptAlias e.d. weg te halen uit je configuratie en AllowOverride None in te stellen. En ExecCGI weghalen kan ook geen kwaad.

Check ook Apache logs, auth.log e.d.