mijn (linux) bak gehackt??

[robbertb]

Ik zit nu op mn werk en wilde zoals ik dagelijks doe, inloggen via SSH op mijn bak thuis..

Kreeg ik ineens de melding van SecureCRT:
Failed to allocate pty!

nu heb ik wat zitten proberen met SecureCRt en nu kom ik iets verder, kan ik wel inloggen maar krijg ik dit tezien op mn venstertje:
Last login: Thu Jan 01 1970 01:00:00 +0100 from
You have mail.
/bin/bash: Too many open files in system

En als ik probeer te ftpen:
STATUS:>Socket connected. Waiting for welcome message...
proftpd: error in loading shared libraries: libc.so.6: cannot open shared object file: Error 23

[edit]
Ik heb wel een paar dagen geleden een nieuwe kernel erbij geinstalleerd maar nooit getest.. kunnen deze meldingen daarvan komen, bijvoorbeeld doordat mn pa de server heeft herstart of de stroom is uitgevallen dat zodoende de nieuwe kernel is geladen en er dingen nog niet juist waren ingesteld.

Ik heb geen van deze meldingen OOIT eerder gehad ...
Omdat ik pas vanavond laat thuis ben kan ik nu ook niet fysiek erachter gaan kijken.. iemand een idee wat er aan de hand is ?

[Verwijderd]

Op donderdag 01 november 2001 13:49 schreef robbertb het volgende:

Ik heb geen van deze meldingen OOIT eerder gehad ...
Omdat ik pas vanavond laat thuis ben kan ik nu ook niet fysiek erachter gaan kijken.. iemand een idee wat er aan de hand is ?

Duidelijk. Al je filedescriptors zijn in gebruik en nu kan het systeem niks meer. Geen nieuwe PTY's aanmaken of processen opstarten or whatsoever.

Wat heb je daar allemaal draaien?

Het kan ook zijn dat je gewoon te weinig filedescriptors hebt. Dat moet je dan ophogen. Ik weet hoe dat met FreeBSD moet maar voor Linux heb ik geen idee.

[imdos]

Of je hebt idd een probleem dat je gehackt bent! Of je hebt je ftp server openstaan en die wordt nu geFXP'ed ...

Maar het lijkt eerder op een hack!

[robbertb]

zie mn eerste post, heb er nog wat aantoegevoegd.

En ik draai Proftp, sshd2,dhclient,dhcrelay3.0,samba 2.2.2, kernel 2.2.16, slackware 7.0, portsentry, en ipchains om inet te delen.. dat was alles geloof ik.

En ik draai deze server al een ruim half jaar.. zijn die pty's dan pas op?? En ik ben de enige gebruiker, zijn nooit meer dan 1 a 2 ssh sessies tegelijk erheen eigenlijk.

Ik ben niet thuis, maar mn pa wel.. zou die nog op internet kunnen? (via een windows client)

Of je hebt idd een probleem dat je gehackt bent! Of je hebt je ftp server openstaan en die wordt nu geFXP'ed ...

ik heb dus idd een proFTP server... maar wat is geFXP'ed ??

Ik kan zeker vanaf hier NIKS doen? (als ik gehackt wordt heeft hij nu tijd om ook alles af te maken )

Last login: Thu Jan 01 1970 01:00:00 +0100 from
You have mail.
/bin/bash: Too many open files in system
Na deze melding ben ik trouwens meteen weer disconnected

wat houdt dat eigenlijk in dat er teveel bestanden open staan, en wat kan zoiets veroorzaken?

[Verwijderd]

Op donderdag 01 november 2001 13:52 schreef imdos het volgende:
Of je hebt idd een probleem dat je gehackt bent! Of je hebt je ftp server openstaan en die wordt nu geFXP'ed ...

Maar het lijkt eerder op een hack!

filedescriptors op en het eerste waar je aan denkt is een hack? Leg uit?

Ik zeg niet dat het geen hack kan zijn maar ik ben benieuwd waarom dat je eerste gedachte is.

[Zeezicht]

Was de 2.2.16 kernel niet ergens vulnerable voor eigenlijk? Ik dacht te herinneren van wel...
Dus ik zou zowieso gaan upgraden naar 2.2.19 + patch

[robbertb]

Last login: Thu Jan 01 1970 01:00:00 +0100 from
You have mail.
/bin/bash: Too many open files in system

Valt me nu ook pas op dat die tijd helemaal niet klopt, 1 januari 1970.... ik weet zeker dat mijn tijd goed stond.. het kan natuurlijk zijn dat et batterijtje leeg is.. maargoed is het nog vreemd dan moet ie uitgeweest zijn..

[robbertb]

Op donderdag 01 november 2001 14:03 schreef Zeezicht het volgende:
Was de 2.2.16 kernel niet ergens vulnerable voor eigenlijk? Ik dacht te herinneren van wel...
Dus ik zou zowieso gaan upgraden naar 2.2.19 + patch

daarnaar had ik em ook geupgraded maar nog niet getest..

`Was de 2.2.16 kernel niet ergens vulnerable voor` Alle kernels zijn ergens vulnerable voor lijkt me.

wat voor patch?

En dit alles kan dus niet simpel zijn veroorzaakt door een stroomuitval en het laden van een niet goed geconfigureerde 2.2.19 kernel? (ik weet niet of ie goed geconfigged is, nog niet getest)

[Creepy]

2.2.16 is vulnarable... LOKAAL! dus niet REMOTE! Je kernel is alvast niet gehackt..

kijk eens naar je HD ruimte... is er nog ruimte over?
Kijk eens naar je processen lijst.. zijn er processen die hangen? (als een proces hangt wat bijv. een aantal fifo's en logfiles open laat staan gaat het best hard met het totale aantal files open)

[robbertb]

Op donderdag 01 november 2001 14:11 schreef Creepy het volgende:
2.2.16 is vulnarable... LOKAAL! dus niet REMOTE! Je kernel is alvast niet gehackt..

kijk eens naar je HD ruimte... is er nog ruimte over?
Kijk eens naar je processen lijst.. zijn er processen die hangen? (als een proces hangt wat bijv. een aantal fifo's en logfiles open laat staan gaat het best hard met het totale aantal files open)

zou best kunnen dat die harddisk vol is.. maar kan dat ook tot gevolg hebben dat de tijd verkeerd gaat staan?

Elke keer als ik probeer in te loggen krijg ik het zelfde bericht, met ook dezelfde tijd van last login...

[MAZZA]

Op donderdag 01 november 2001 14:16 schreef robbertb het volgende:

[..]

zou best kunnen dat die harddisk vol is.. maar kan dat ook tot gevolg hebben dat de tijd verkeerd gaat staan?

Elke keer als ik probeer in te loggen krijg ik het zelfde bericht, met ook dezelfde tijd van last login...

Dat is mogelijk ja. Een hack lijkt me trouwens onwaarschijnlijk. Harde schijf vol lijkt mij eerder de boosdoener.

[robbertb]

Op donderdag 01 november 2001 14:22 schreef MAZZA het volgende:

[..]

Dat is mogelijk ja. Een hack lijkt me trouwens onwaarschijnlijk. Harde schijf vol lijkt mij eerder de boosdoener.

Daar ga ik nu ook van uit, dat et dat is

[Verwijderd]

Op donderdag 01 november 2001 14:22 schreef MAZZA het volgende:

[..]

Dat is mogelijk ja. Een hack lijkt me trouwens onwaarschijnlijk. Harde schijf vol lijkt mij eerder de boosdoener.

Inderdaad. Misschien heb je een of andere logger lopen die de hele disk gevuld heeft met logfiles?

[robbertb]

hmm niet meer dan normaal.. denk dat /var/log/messages erg groot is geworden. ik heb al es gezien dat er bestanden in /var/log stonden die over de 100mb groot waren.. misschien nu nog groter

Thuis maar es kijken vanavond.. thanx

Hopelijk kan ik wel achter de pc zelf inloggen

[Apache]

Ik had gisteren ook een volle HD op m'n server die gisteren net 100 dagen aanstond

in m'n /tmp stonden voor 450MB aan .wrk bestanden, allemaal gedelete en hij loopt weer soepel, ik had geluk dat het net gebeurde voor ik ging slapen, k'hoorde z'n hd rammelen, load 5, apache klapte er toen uit, snel proberen in teloggen, lukte ook eerst niet, dan lukte het, instinctief naar /tmp gegaan en alle problemen van de baan

Maar ik kreeg niet zo'n vage foutmeldingen als jou en ook met m'n klok was niets mis.

[robbertb]

misschien had jij nog wel een heel klein beetje vrij?

En maybe heeft mn pa de server gereboot omdat internet het misschien wel niet deed ofzo.. dan heeft hij wel es de neiging om ff de server te rebooten (uit/aan schakelijk )

[Apache]

nope, k'had helemaal niets meer vrij, dus ik ben blij dat hij niet op z'n zak is gegaan

[wouzer]

Behalve het feit dat je een oude kernel hebt is het waarschijnlijk geen hack. Zoals het al eerder is vermeldt zijn de filedescriptors op en kan er geen nieuwe process gespawned worden. Als je thuis bent rebooten en een 2.2.19 kernel bakken en installeren.

Ik heb dit zelf ook een keer gehad met een gare configuratie voor samba, weet nogsteeds niet hoe maar die vraag heb ik hier toen ook gesteld.

[topic=205613/1/25]

[robbertb]

hey thanx, das interessant, ff lezen
hmm je topic is niet afgemaakt..

[wouzer]

Komt dus door swat, die had mijn samba configfile op een of andere manier zo aangepast dat samba op z'n bek ging. Oude samba.conf terug, en het probleem was over.

ps. Dit was dus MIJN probleem ik weet niet wat het jouwe was.

[robbertb]

Op donderdag 01 november 2001 16:03 schreef wouzer het volgende:
Komt dus door swat, die had mijn samba configfile op een of andere manier zo aangepast dat samba op z'n bek ging. Oude samba.conf terug, en het probleem was over.

ps. Dit was dus MIJN probleem ik weet niet wat het jouwe was.

hmm ik heb ook net gisteren samba 2.2.2 geinstalleerd, met swat geloof ik!
Omdat ik al wat problemen had met mn oude samba versie, als ik smbd startte kwam hij niet bij mijn lijst met geladen programma's te staan (ps aux), terwijl nmdb er wel bij kwam dus had ik ff nieuwste gedownload... maar originele configfile gebruikt..

[Verwijderd]

grote kans dat je nu een hele lijst met nmbd processen ziet , gebeurde hier ook na upgrade van samba. Ik heb nog geen tijd gehad het op te lossen, tot die tijd maar ff zonder samba.

[robbertb]

Op vrijdag 02 november 2001 00:42 schreef janjanjansen het volgende:
grote kans dat je nu een hele lijst met nmbd processen ziet , gebeurde hier ook na upgrade van samba. Ik heb nog geen tijd gehad het op te lossen, tot die tijd maar ff zonder samba.

ik ook nog niet, kan pas vanavond kijken

Maargoed, internet werkt nog wel thuis en dat is het belangrijkste
Jammer dat et bakje niet zo slim is dat ie zichzelf zou kunnen `recoveren`