[Linux] User teveel

[Fido]

Het is mij opgevallen dat er in elk geval vanaf deze week een user teveel is ingelogd. Met het commando 'w' zie ik het volgende:

9:39pm up 10 days, 8:56, 2 users, load average: 1.05, 1.09, 1.09
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
frido pts/0 engineering.otte 9:39pm 0.00s 0.08s 0.04s w

En dat terwijl ik maar 1x ben ingelogd.

Ik gebruik slackware 7.1. Heeft iemand hier een verklaring voor?

[CyBeR]

hmm ik zag dat laatst ook
volgens mij had ik een screen draaien die ik vergeten was

[Verwijderd]

Ten eerste zie ik maar een user, heb je de ander weggeknipt?
Ten tweede, ben jij "Frido", ten derde, log jij aan vanaf "engineering.otto"?

[Fido]

Ik ben echt alle screens bijlangs geweest maar alles ziet er netjes uit. Ook met een ps aux wordt ik er niet wijzer van.


jeroenr:
Ten eerste: nee
Ten tweede: ja
Ten derde: ja

[CyBeR]

Op donderdag 13 december 2001 21:46 schreef jeroenr het volgende:
Ten eerste zie ik maar een user, heb je de ander weggeknipt?
Ten tweede, ben jij "Frido", ten derde, log jij aan vanaf "engineering.otto"?

ben je blonT ofzow?
hij zegt toch dat ie een keer ingelogd is en ook maar een ingelogde user ziet?

[Apache]

en een who?

[Fido]

Op donderdag 13 december 2001 21:47 schreef Apache het volgende:
en een who?

who geeft:

frido pts/0 Dec 13 21:39
frido pts/2 Dec 10 20:46

[CyBeR]

en who -l?
dan staat er eventueel hostnames achter
(:0 betekent Xterm )

[Verwijderd]

Op donderdag 13 december 2001 21:47 schreef CyB3R het volgende:

[..]

ben je blonT ofzow?
hij zegt toch dat ie een keer ingelogd is en ook maar een ingelogde user ziet?

Dan lees jij zeker beter dan ik, want er staat dus nergens dat hij maar een ingelogde user ziet...

[CyBeR]

Op donderdag 13 december 2001 21:52 schreef jeroenr het volgende:

[..]

Dan lees jij zeker beter dan ik, want er staat dus nergens dat hij maar een ingelogde user ziet...

er staat toch maar 1 user bij die 'w' output?
als ie geknipt had zou dat er wel bij gestaan hebben lijkt me

[Fido]

Hee, hij's nu weg. met who -l zie ik nu alleen m'n huidige sessie nog draaien. Nu is het lastig uit te zoeken wat het is geweest. Ik zag bij m'n processen maar 1x een in.telnetd staan. Errug vaag...

[Verwijderd]

Op donderdag 13 december 2001 21:49 schreef Fido het volgende:

[..]

who geeft:

frido pts/0 Dec 13 21:39
frido pts/2 Dec 10 20:46

mmm... met ps -ef | grep pts/2 kan je zien welke processen er draaien op die terminal...

Bijvoorbeeld bij mij (ik zit toevallig ook aangelogd op pts/2)

linux:~$ ps -ef | grep pts/2
jeroen 326 325 0 21:43 pts/2 00:00:00 -bash
jeroen 861 326 0 21:54 pts/2 00:00:00 ps -ef
jeroen 862 326 0 21:54 pts/2 00:00:00 grep pts/2

dan kan je zo'n proces de nek omdraaien met

kill <process-id>

het process-id is het tweede getal.

Verdwijnt het dan niet, kan je het rigoreuzer proberen met:

kill -9 <process-id>

Heb je geen idee wat voor processen het zijn, post de output van ps dan ff hier...

[Verwijderd]

Op donderdag 13 december 2001 21:54 schreef CyB3R het volgende:

[..]

er staat toch maar 1 user bij die 'w' output?
als ie geknipt had zou dat er wel bij gestaan hebben lijkt me

Leek mij ook, maar vroeg het toch maar ff voor alle zekerheid, misschien wilde hij niet dat we zijn eigen loginnaam wisten...

[CyBeR]

Op donderdag 13 december 2001 21:55 schreef Fido het volgende:
Hee, hij's nu weg. met who -l zie ik nu alleen m'n huidige sessie nog draaien. Nu is het lastig uit te zoeken wat het is geweest. Ik zag bij m'n processen maar 1x een in.telnetd staan. Errug vaag...

t zal een ghost geweest zijn dan ofzo

[Verwijderd]

Op donderdag 13 december 2001 21:55 schreef Fido het volgende:
Hee, hij's nu weg. met who -l zie ik nu alleen m'n huidige sessie nog draaien. Nu is het lastig uit te zoeken wat het is geweest. Ik zag bij m'n processen maar 1x een in.telnetd staan. Errug vaag...

Ik heb (via je homepage wist ik je ip) ff geprobeerd... telnet en ftp staan open van buiten af, dat zou ik dichtzetten.

Overigens heb ik niks anders gedaan dan proberen inloggen met user frido, password frido (werkt niet) en met ftp aanloggen met user anonymous, password x@y (werkt wel, maar ik kom in een directory tree die verder leeg is terecht).

[Fido]

Op donderdag 13 december 2001 22:12 schreef jeroenr het volgende:

[..]

Ik heb (via je homepage wist ik je ip) ff geprobeerd... telnet en ftp staan open van buiten af, dat zou ik dichtzetten.

Overigens heb ik niks anders gedaan dan proberen inloggen met user frido, password frido (werkt niet) en met ftp aanloggen met user anonymous, password x@y (werkt wel, maar ik kom in een directory tree die verder leeg is terecht).

Ik had al zo'n vermoeden. Maar dat maakt me niet zoveel uit. Anonymous ftp zou ik nog wel uit kunnen zetten idd. De rest heb ik bewust open staan. Is voor m'n werk wel handig.

[Verwijderd]

Op donderdag 13 december 2001 22:15 schreef Fido het volgende:

[..]

Ik had al zo'n vermoeden. Maar dat maakt me niet zoveel uit. Anonymous ftp zou ik nog wel uit kunnen zetten idd. De rest heb ik bewust open staan. Is voor m'n werk wel handig.

Kan je dan niet beter ssh installeren? Of, als dat vanaf je werk niet werkt, poort 23 alleen voor het subnet van je werk openzetten. Wat je ook kan doen (of misschien al gedaan hebt) is je firewall laten loggen op een SYN connectie op poort 23, dan zie je in ieder geval dat er iemand probeert te telnetten...

[TrailBlazer]

Als je dan verstandig bent pas je je firewall zo aan dat enkel connecties van een bepaalde ip adres/reeks worden toegelaten

[Fido]

Op donderdag 13 december 2001 22:18 schreef jeroenr het volgende:

[..]

Kan je dan niet beter ssh installeren? Of, als dat vanaf je werk niet werkt, poort 23 alleen voor het subnet van je werk openzetten. Wat je ook kan doen (of misschien al gedaan hebt) is je firewall laten loggen op een SYN connectie op poort 23, dan zie je in ieder geval dat er iemand probeert te telnetten...

Het gaat er niet zozeer om dat ik vanaf m'n werk thuis kan inloggen maar eerder andersom. Ik wil dus eigenlijk overal vandaar in kunnen loggen op m'n werk. SSH kan ik nog doen maar dan zou ik eventueel weer altijd een floppy oid bij me moeten hebben met de juiste bestanden.

[Verwijderd]

Op donderdag 13 december 2001 22:29 schreef Fido het volgende:

[..]

Het gaat er niet zozeer om dat ik vanaf m'n werk thuis kan inloggen maar eerder andersom. Ik wil dus eigenlijk overal vandaar in kunnen loggen op m'n werk. SSH kan ik nog doen maar dan zou ik eventueel weer altijd een floppy oid bij me moeten hebben met de juiste bestanden.

Dan gewoon alleen inkomende telnet blocken...

[kenneth]

wast niet gewoon een niet-up-to-date wtmp file?

[deadinspace]

Je kunt natuurlijk in je logs controleren of iemand is ingelogd via telnet. Verder komt het voor dat een entry in wtmp niet wordt gewist, hierdoor lijkt het alsof iemand nog is ingelogd terwijl hij dat niet meer is.

[kenneth]

Op vrijdag 14 december 2001 00:53 schreef deadinspace het volgende:
Verder komt het voor dat een entry in wtmp niet wordt gewist, hierdoor lijkt het alsof iemand nog is ingelogd terwijl hij dat niet meer is.

Dat zeg ik!