[Win2k Server] CPU load niet te achterhalen.

[MrCaBLeGuY]

Een oude bekende MSN't mij net dat hij al de hele dag problemen heb met zen win2k dedicated server. Die valt steeds offline nadat hij 10 minuten aan is. Met deze wetenschap meteen even gaan kijken met TS en zag dat CPU load op 100% stond. Was in gebruik door smsx.exe wat ik later terugvond in zen System32 dit. Kon het proces probleemloos killen maar het stomme was dat de load niet ophield. Dacht ach nog een proces dat 100 procent trekt. Maar nee, dat was er dus mooi niet. Sterker nog IDLE proces is steeds normaal, rond de 80, 90 maar ondanks dat dat steeds goed staat blijft CPU load heel wat anders beweren. Zie screenshot:





Op die screensho is het IDLE proces 89 procent terwijl de grafiek van niet vind. Is ook merkbaar op systeem dat hij die load wel maakt (niet echt vloeiend). Ik heb die smsx.exe weg gegooid, gereboot help geen fuck. Load is er nog steeds.

Iemand enig idee hoe ik nu kan achterhalen waar die load weg komt?

Info over server, server was verstoken van SP3 en allerlei belangrijke updates. Die ga ik dus maar even doen SP3 installen gaf echter na het downloaden Corupt file (Na veryfying file) Iemand daar ook een suggestie voor ?

[MrCaBLeGuY]

Oke inmiddels gevonden, ik heb met de hand alle services uitgezet op de hoop dat één zou lijden tot het inkakken van de CPU load. Bij het stoppen van de volgende service:

Logical Disk Manager Administrative Service
Administrative service for disk management requests

Was al het CPU load weg. Deze service voert "C:\WINNT\System32\dmadmin.exe /com" uit. Maar kijk maar naar die screenshot van die taskmanager, daarin zie je wel dmadmin.exe staan maar de load erachter is nul. Terwijl hij toch steeds zo een 90 procent trekt (blijkbaar).

[gatlarf]

Leuke screenshots wel. Raar probleem overigens.

Modbreak

---

Als je buiten deze buitengewone opmerkingsgave niets nuttig toe te voegen hebt, reageer dan ook niet

---

[ Voor 73% gewijzigd door Predator op 23-04-2003 21:31 ]

[MrCaBLeGuY]

Ja leuk dat je de screenshots leuk vind Nu nog een suggestie ook ? Ik kan niks vinden van die Win2k SP3 file corupt error.

[Kama]

Zit ie online? Zoja, check je netwerk-activity en controleer of je al je disk usage kunt verantwoorden... Heb al weer teveel gehackte W2K servers gezien deze maanden :-p

[Verwijderd]

hmmm de logical disk manager administrative service staat standaard op manual en zou dus eigenlijk niet aan moeten zijn tenzij die door bijv diskmanager is gestart

smsx.exe is een programma om smsen te versturen als ik kijk naar de site lijkt me dit een oud programma

hoe lang draait die bak al ?
zou een reboot niet helpen

[ Voor 9% gewijzigd door Verwijderd op 23-04-2003 02:10 ]

[MrCaBLeGuY]

Rebooten heeft hij al genoeg gedaan vandaag, die server viel er juist om de 10 minuten uit (liep vast) en kon alleen nog maar via een onvriendelijke manier worden gereboot (power switch). Na het stoppen van die "logical disk manager administrative service" is dat cpu load probleem even opgelost en valt hij ook niet weer offline.

Ik zie in dataverkeer wel vage pieken.



Heb om te beginnen maar even snel die "IIS Remote Exploit from ntdll.dll Vulnerability" van onlangs maar even snel geinstalleerd. van http://www.microsoft.com/...ity/bulletin/MS03-007.asp geinstalled.

SP3 installeren wil nog steeds niet

[MrCaBLeGuY]

Portscan levert op dat port 17 open staat, iedere keer als ik daar naar telnet krijg ik een quote.

--
"The secret of being miserable is to have leisure to bother about whether
you are happy or not. The cure for it is occupation."
George Bernard Shaw (1856-1950)


Connection to host lost.

C:\>

--
"When a stupid man is doing something he is ashamed of, he always declares
that it is his duty." George Bernard Shaw (1856-1950)


Connection to host lost.

C:\>

--
"My spelling is Wobbly. It's good spelling but it Wobbles, and the letters
get in the wrong places." A. A. Milne (1882-1958)


C:\>ection to host lost.


Wat mensen doen met hun servers ik weet het niet, maar ik heb dit er niet op

[Verwijderd]

Als je een hoge CPU load hebt, maar het idle process die 'veroorzaakt', heb je een ander proces dat niet gaat slapen terwijl het niet wordt gebruikt. Idle gaat dus iedere keer aan dat proces vragen of het processortijd nodig heeft. Dat proces gaat heel kort wat doen en staat daarna zijn tijd weer af. Maar het heeft een hele hoge prioriteit en doet iedere keer eventjes iets. De processorbelasting is dan kunstmatig hoog.

En als ik die meldingen zo zie, heb je een worm als backdoor, die niet zo netjes is geschreven en niet gaat slapen als hij niets te doen heeft

[MrCaBLeGuY]

Om te beginnen heb ik niks Server is gelukkig niet van mij persoonlijk. Ben nu SP3 aan het installeren via die Express Installation, dat werkt wel, net klaar nu aan het booten (duurde wel erg lang trouwens). En warempel hij komt terug, dus nu ook maar even alle andere updates installeren tot er niks meer te installeren valt. Dan kijken wat die service doet, of die nog steeds zelde probleem geeft.

Heb jij wellicht tips hoe Worms op te sporen?

[MrCaBLeGuY]

Hmmz net braaf gereboot begonnen aan IE 6 SP1 update en hij rot weer offline uit zichzelf, ff kijken wat eventviewer allemaal meld op laatste moment. Eerst weer rebooten

[MrCaBLeGuY]

Zie steeds deze terugkomen:

Event ID: 10035
Source: RSVP

This host can not be ACS since the Active Directory has not been properly configured via the QoS ACS management console. Please configure the subnets via the QoS ACS mangement console.

Event ID: 1100
Source: TermServDevices

Initialization of Notify Failed.

[Verwijderd]

Om die lastige worm op te ruimen zou ik dingen als virusscanners gaan proberen, ik heb helaas (of gelukkig) nog nooit van die specifieke variant gehoord. Maar het kan ook zijn, dat jij een van de eerste bent die een telnet sessie op poort 17 van zo'n bak zet

[Verwijderd]

MrCaBLeGuY schreef op 23 april 2003 @ 03:17:
Zie steeds deze terugkomen:

Event ID: 10035
Source: RSVP

This host can not be ACS since the Active Directory has not been properly configured via the QoS ACS management console. Please configure the subnets via the QoS ACS mangement console.

Event ID: 1100
Source: TermServDevices

Initialization of Notify Failed.

Hoei. Dat is niet zo mooi. Welke taken vervult die server? Hij kan er in ieder geval eentje niet meer uitvoeren. Als het geen PDC is, kun je die taken delegeren of door een andere server laten overnemen. Zou ik zeker doen. Alle data er af, isoleren en verder kijken.

Edit: kan trouwens ook als hij wel PDC is, maar niet zo makkelijk.

[ Voor 5% gewijzigd door Verwijderd op 23-04-2003 03:24 ]

[MrCaBLeGuY]

Is een standalone server, doet alleen www/ftp services, niks spannends verder...

[MrCaBLeGuY]

En hij flikkert weer offline

[Verwijderd]

Het is natuurlijk altijd interessant om te weten wat er aan de hand is, maar als je hem snel weer in de lucht wilt hebben, haal dan alle data er af en richt hem opnieuw in. Dat is bijna altijd de snelste en beste oplossing. Niet de leukste, ok.

Maar nu ga ik toch echt slapen. Nog veel succes!

[MrCaBLeGuY]

Dankje, tsja is niet mijn server dus heb daar geen behoefte aan. Daarnaast staat die server Fysiek niet naast me maar ergens in Amsterdam. Dus sowieso opnieuw inrichten zal niet lukken (al zijn mijn voorkeur daar wel naar uit gaan).

Ik heb nu maar even die "QoS Admission Control (RSVP)" service die "C:\WINNT\System32\rsvp.exe -s" gebruikt uitgezet. Kijken wat dat oplevert.

[Weezer-DC]

MrCaBLeGuY schreef op 23 April 2003 @ 03:27:
En hij flikkert weer offline

Allemaal leuk en aardig,
maar hebben jullie ( MrCaBLeGuY & DiGuru) wel eens van het "edit" knopje gehoord ?



Heb je trouwens nu alle updates gedraaid ?
Virusscanner is ook recent ?
Misschien een backup van een voor het probleem er over heen zetten..

Neem aan dat je backup en virusscanner heb...

FTP root al gecheckt ?
Wat als je IIS opnieuw instaleert ?

[ Voor 48% gewijzigd door Weezer-DC op 23-04-2003 03:44 ]

[MrCaBLeGuY]

Ja Weezer-DC, ik verplicht je in dit topic te blijven als het je zo irriteert.

edit:
Dat doet je toch zelf?

Neem aan dat je backup en virusscanner heb...

Nope geen van beide, zal morgen voor de server eigenaar maar even een export van zijn IIS instellingen maken en wellicht een externe backup van z'n files. Virusscanner software staat er niet op, laatste redmiddel wellicht.

FTP root al gecheckt ?
Wat als je IIS opnieuw instaleert ?

Ja maar daar is allemaal niks mis mee, IIS functioneert ook prima. De errors uit de Eventviewer voor het offline vallen duiden ook helemaal niet op een probleem met IIS. Vind inderdaad een worm waarschijnlijker. Eerst maar eens kijken wat het gaat opleveren als alle updates geinstalleerd zijn.

[ Voor 95% gewijzigd door MrCaBLeGuY op 23-04-2003 03:49 ]

[Weezer-DC]

MrCaBLeGuY schreef op 23 April 2003 @ 03:44:
Ja Weezer-DC, ik verplicht je in dit topic te blijven als het je zo irriteert.

edit:
Dat doet je toch zelf?

Je kan me zoveel verplichten, of ik er wat mee doe is mijn zaak

Wat doe ik zelf ?

Maar even serieus, ik wil je best helpen,
moet je wel een antwoord geven en me niet op zo'n manier "behandelen"

[MrCaBLeGuY]

Dat antwoord had ik inmiddels gegeven In m'n edit (je wijze raad werpt z'n vruchten af). Ik zal liev voor je zijn, potje Courone spelen trouwens ? Kunnen we ff afreageren op elkaar

edit:
Ik ben wel van FOK!

[ Voor 53% gewijzigd door MrCaBLeGuY op 23-04-2003 04:07 ]

[Weezer-DC]

Wat ik je aanraad, is om op die server mcafee te krijgen,
en die te update naar de aller laatste versie,
en dan een full scan te doen, ik heb namelijk een licht vermoeden dat er wel eens een virus voor die cpu load kan zorgen.

Verder raad ik je aan om een backup te maken...je weet maar nooit,
straks verkllot je iets, en dan zit je met een nog groter probleem.

Kan je nu al zien welk proces zoveel cpu load vraagt ?

Maar draai eerst maar even die virusscan,
denk dat daar het probleem ligt

[ Voor 16% gewijzigd door Weezer-DC op 23-04-2003 04:17 ]

[MrCaBLeGuY]

Ja weet ik maar ik ben Crew op FOK en daar zijn we een iets milder beleid gewent, haal hem zo weg

Die load is nu weg, door het uitzetten van die service. Inmiddels zijn bijna alle mogelijk updates gedaan, dus dan even kijken wat er gebeurt als ik die service weer aan zet. Voor de rest geeft die QoS service volgens mij nog problemen kijken waar dat vandaan komt.

Een virusscan lijkt me op die server geen overbodige optie. Ik zie dat ik 5.15 UK zo voorhande heb, zal die eens proberen. Thnx voor de tips!

verder

Oke nou geen virusscanner laat zich probleemloos installeren. Nu maar even via http://housecall.trendmicro.com/ gedaan. Het eerste wat die zegt is:



Daarna nokt hij er ook mee, eerst maar eens rebooten dan weer nu.

[ Voor 41% gewijzigd door MrCaBLeGuY op 23-04-2003 04:29 ]

[Weezer-DC]

MrCaBLeGuY schreef op 23 april 2003 @ 04:06:
Ja weet ik maar ik ben Crew op FOK en daar zijn we een iets milder beleid gewent, haal hem zo weg

Die load is nu weg, door het uitzetten van die service. Inmiddels zijn bijna alle mogelijk updates gedaan, dus dan even kijken wat er gebeurt als ik die service weer aan zet. Voor de rest geeft die QoS service volgens mij nog problemen kijken waar dat vandaan komt.

Een virusscan lijkt me op die server geen overbodige optie. Ik zie dat ik 5.15 UK zo voorhande heb, zal die eens proberen. Thnx voor de tips!

verder

Oke nou geen virusscanner laat zich probleemloos installeren. Nu maar even via http://housecall.trendmicro.com/ gedaan. Het eerste wat die zegt is:

[afbeelding]

Daarna nokt hij er ook mee, eerst maar eens rebooten dan weer nu.

Eigelijk is het het handigst om eens in safemode te proberen....
Of desnoods, hd in een andere pc zetten en dan gaan scannen !
Denk dat je zo geen kans krijgt om het te cleanen, daar hebben die virusbakkers namelijk ook aangedacht, en een plossing voor je vonden

[luckyme_]

Verwijderd schreef op 23 april 2003 @ 03:19:
Om die lastige worm op te ruimen zou ik dingen als virusscanners gaan proberen, ik heb helaas (of gelukkig) nog nooit van die specifieke variant gehoord. Maar het kan ook zijn, dat jij een van de eerste bent die een telnet sessie op poort 17 van zo'n bak zet

Die "lastige worm" is "quote of the day" en hoort gewoon bij het os. Waarschijnlijk zijn er allerlei extra services op die bak geinstalleerd zonder na te denken wat het is....

[elevator]

MrCaBLeGuY schreef op 23 April 2003 @ 02:27:
Portscan levert op dat port 17 open staat, iedere keer als ik daar naar telnet krijg ik een quote.

Dit is de QOTD service - en dit betekent dat je de "Simple TCP/IP Services" geinstalleerd hebt. Als je dit niet weet, vraag ik me serieus af waarom jij een server beheert op een netwerk als het Internet.

Los hiervan - als je DMADMIN service 100% cpu pakt, moet je eens kijken ofdat je management software (eg: Compaq CIM of DELL Management Software) geinstalleerd hebt, soms wil dit nog wel eens CPU load problemen veroorzaken.

Kijk ook eens ofdat er in je hardware log geen "Bad block" meldingen voorkomen, ook dit wil nog wel eens een 'hangende' dmadmin service geven.

Je geeft aan dat je nu pas SP3 geinstalleerd hebt, misschien is het verstandig eens te beginnen met het scannen van je PC op virussen (dit heb je ondertussen al gedaan), en vervolgens ook de IIS lockdown tool te draaien.
Draai daarna de BSA (baseline security advisor) tool nog eens, en volg het advies daaruit op.

[MrCaBLeGuY]

Oke dit gaat allemaal niet meer werken, dus die jongen haalt de server op uit de serverruimte en ga er wel een schone win2k opzetten. Ik zet alles op een nieuwe harde schijf als ik zorg dat Administrator wachtwoord gelijk is moet ik in principe toch bij al die data kunnen op die "oude" schijf zonder problemen met rechten te hebben?

[MrCaBLeGuY]

elevator schreef op 23 April 2003 @ 12:17:
[...]

blaat

Nogmaals, die server is niet van mij. Daarnaast heb ik inmiddels 4 jaar ervaring met hosting op IIS en mijn eigen server draait ook al tijden probleemloos en is nog nooit gehacked of andere problemen.

Dat ik niet weet wat die QOTD service is (nu ben ik debiel ) zegt niks over mijn verdere kennis van IIS/WIN2k. Ik snap wel meer services niet maar dat wil niet zeggen dat ik niet in staat ben een server knap te laten draaien Maar euhh je hebt waarschijnlijk niet de moeite genomen het hele topic te lezen, ik beheer die server dus NIET. Had ik dat wel gedaan had er nooit een QOTD service aan gestaan. De server is van een vriend die mij omn een gunst vraag.

Mensen afzeiken doe je maar in een ander topic ofzo

[elevator]

MrCaBLeGuY schreef op 23 April 2003 @ 18:23:
[...]
Dat ik niet weet wat die QOTD service is (nu ben ik debiel ) zegt niks over mijn verdere kennis van IIS/WIN2k. Ik snap wel meer services niet maar dat wil niet zeggen dat ik niet in staat ben een server knap te laten draaien Maar euhh je hebt waarschijnlijk niet de moeite genomen het hele topic te lezen, ik beheer die server dus NIET. Had ik dat wel gedaan had er nooit een QOTD service aan gestaan. De server is van een vriend die mij omn een gunst vraag.

Mensen afzeiken doe je maar in een ander topic ofzo [afbeelding]

Ik heb absoluut niet de intentie je af te zeiken - maar wat jij schijnbaar niet wil of kan snappen is dat het beheren van een server op een publiek netwerk (namelijk het internet) bepaalde verantwoordelijkheden met zich mee brengt.

Het verhaal "Ik snap wel meer services niet " is leuk en aardig allemaal, maar basic dingen niet herkennen, maar dan niet de moeite nemen erachter te komen wat dat is, is wel zeker kwalijk imho - zeker als jij die diensten op het internet aanbiedt omdat je dan meer mensen ermee lastig valt dan alleen jezelf.

[Predator]

PNS -> WOS

MrCaBLeGuY schreef op 23 April 2003 @ 03:44:
Ja Weezer-DC, ik verplicht je in dit topic te blijven als het je zo irriteert.

Of het nu Weezer irriteert of niet, berichten nutteloze onder elkaar plaatsen wordt hier helemaal niet gewaardeerd.

Crew op FOK en daar zijn we een iets milder beleid gewent

[luckyme_]

Als je zoveel kennis hebt weet je ook dat alleen het password van de administrator gelijk houden niet zonder meer genoeg is om toegang te hebben..... Does SID ring any bells?

[MrCaBLeGuY]

topic mag op slot, problemen allemaal verholpen ...

edit:
dank aan de mensen die nuttig advies hadden!

[ Voor 59% gewijzigd door MrCaBLeGuY op 24-04-2003 06:08 ]