[IIS] 5x per dag 'admin service terminated unexpectedly' *

[Verwijderd]

Ik krijg tegenwoordig regelematig(4 a 5 keer per dag) deze melding in de event viewer:

The IIS Admin Service service terminated unexpectedly. It has done this 32 time(s). The following corrective action will be taken in 1 milliseconds: Run the configured recovery program.

Hetzelfde geldt voor de kind services van IIS admin (www, smtp, ftp).

Als ik de crash dump bekijk die dan gemaakt wordt zie ik dit:

Windows 2000 Version 2195 UP Free x86 compatible
Product: Server, suite: TerminalServer SingleUserTS
Debug session time: Fri Jan 23 14:57:59 2004
System Uptime: 9 days 16:23:47.138
Process Uptime: not available
Symbol search path is: *** Invalid ***
****************************************************************************
* Symbol loading may be unreliable without a symbol search path. *
* Use .symfix to have the debugger choose a symbol path. *
* After setting your symbol path, use .reload to refresh symbol locations. *
****************************************************************************
Executable search path is:
.......................................................................................................................
(a78.918): Access violation - code c0000005 (!!! second chance !!!)
eax=002e0031 ebx=00070000 ecx=00300031 edx=02908668 esi=02923000 edi=02908668
eip=77fcb3ad esp=040afd00 ebp=040afd0c iopl=0 nv up ei ng nz na po cy
cs=001b ss=0023 ds=0023 es=0023 fs=0038 gs=0000 efl=00000287
*** ERROR: Symbol file could not be found. Defaulted to export symbols for ntdll.dll -
ntdll!RtlDestroyHeap+0x241:
77fcb3ad 8901 mov [ecx],eax ds:0023:00300031=????????

Ik weet werkelijk niet welke kant in op moet denken. Heeft er iemand id'en hoe ik verder kan komen de oorzaak van dit probleem te achterhalen?

Verder draaien er op de server nog een aantal JRun instanties, maar die draaien gewoon door. De koppeling met IIS is ook weer goed nadat IIS weer gestart is.
Alle laatste patches en SP's zijn geinstalleerd voor Windows.

[Verwijderd]

en het symbol path zoals de error aangeeft heb herstelt, wat probeer je voor de rest zelf want daar ben je ook niet duidelijk over.
en kijk eens op de technet pages van ms hierover.
effe google zoeken en je komt er wel uit.

[F_J_K]

kleine titeledit

Symbols: je kunt even kijken naar Windows Crash/Memory dumps FAQ (niet helemaal relevant, misschien wel een tip in te vinden).
Verder; gebeuren er rare dingen op de server (zoals errug hoge load oid) als het fout gaat?

[avon]

Connect je richting de server via een Terminal Service Sessie voor beheerstaken e.d. ?

[Jimbolino]

kijk ook eens in je access log, of er op dat bepaalde tijdstip iemand jou admin service probeert te exploiten.

[Verwijderd]

AvOn schreef op 23 januari 2004 @ 17:07:
Connect je richting de server via een Terminal Service Sessie voor beheerstaken e.d. ?

Ja, de server staat in een dmz.

[Verwijderd]

Jimbolino schreef op 23 januari 2004 @ 17:11:
kijk ook eens in je access log, of er op dat bepaalde tijdstip iemand jou admin service probeert te exploiten.

Welke log bedoel je met access log?

[Verwijderd]

firewal log

[Verwijderd]

Verder, ik weet niet zeker wat er op dat moment met de server gebeurt, de performance monitor lijkt uit te wijzen dat er niks bijzonders gebeurt. Geheugen constant, processor load ook.

Ik heb zelf al een paar uur zitten googlen, maar ik kom niet veel verder dan verhalen over c/c++ modulen(COM etc) die het zouden kunnen veroorzaken. Maar wij draaien geen asp, dus ook geen COM dingen etc. Voor zover ik het gebrijp komt het uit IIS of Windows zelf.
Als ik binnen een paar dagen niks gevonden heb ga ik een paar dumps naar MS sturen. Maar ik heb nog niet gekeken hoe dat moet en waar je hem naartoe moet sturen.

[Verwijderd]

Verwijderd schreef op 23 januari 2004 @ 20:42:
firewal log

Ik kan niks zien op dat ding. Wat ik wel weet is dat hij alleen port 80 doorlaat en dat is het dan. Verder laat hij echt helemaal niks door naar binnen, beheer gaat over vpn. Kun je over poort 80 IIS exploiten?

Of bedoel je een andere firewall log?

[ Voor 6% gewijzigd door Verwijderd op 23-01-2004 20:57 . Reden: regeltje toegevoegd ]

[avon]

Gebeurt het ook als je je sessie niet netjes afbreekt dus gewoon "wegklikken" ipv
"Log off"?

[Verwijderd]

AvOn schreef op 23 januari 2004 @ 23:38:
Gebeurt het ook als je je sessie niet netjes afbreekt dus gewoon "wegklikken" ipv
"Log off"?

Volgens mij hebben we een beetje miscommunicatie. Het heeft niks met terminal service te maken mijns inziens. Die crashes komen gewoon, overdag, snachts in het weekend, als ik ingelogd ben als ik niet ingelogd ben. Volledig random, niet van te voren te genereren, geen tekenen van iets dat hij gaat crashen, niks.

Ik heb die symbols voor de debugger, toen kwam ik op dit uit:

(a78.918): Access violation - code c0000005 (!!! second chance !!!)
eax=002e0031 ebx=00070000 ecx=00300031 edx=02908668 esi=02923000 edi=02908668
eip=77fcb3ad esp=040afd00 ebp=040afd0c iopl=0 nv up ei ng nz na po cy
cs=001b ss=0023 ds=0023 es=0023 fs=0038 gs=0000 efl=00000287
ntdll!RtlpCoalesceFreeBlocks+0x10f:
77fcb3ad 8901 mov [ecx],eax ds:0023:00300031=????????
0:040> kb
ChildEBP RetAddr Args to Child
040afd0c 77fccdfb 00070000 02923000 040afd38 ntdll!RtlpCoalesceFreeBlocks+0x10f
040afd40 77fcba0f 00070000 00000848 00000000 ntdll!RtlpExtendHeap+0x193
040afee8 7c57917d 00070000 00140008 00000840 ntdll!RtlAllocateHeap+0x339
040aff34 6d7022aa 00000040 00000840 7c57b594 KERNEL32!LocalAlloc+0x74
040aff54 6d701ae1 00000001 00000019 00000000 ISATQ!I_AtqPrepareAcceptExSockets+0x65
040aff80 6d7029a6 00000000 00000200 0109cff4 ISATQ!AtqpProcessContext+0x17f
040affb4 7c57b382 00000000 010a6924 0001207f ISATQ!AtqPoolThread+0x1a8
040affec 00000000 6d709470 00000000 00000000 KERNEL32!BaseThreadStart+0x52

Meet een beetje googlen kwam ik erachter dat dit te maken heeft met een app die een heap corruption heeft. Als het geheugen dan ge-'coalescing'(soort defrag voor het geheugen) wordt geeft de applicatie waar het geheugen van was een fout. De veroorzaker is dan allang weg.... Rare hieraan vind ik dat IIS steeds crasht, waarom juist die?
Verder zoeken op de combie w2k+sp4+iis+crash+heap leverde een paar meldingen op van Jrun4(updater2, die gebruik ik ook) gebruikers. Verder nog niks over bekend, er lopen support calls bij Macromedia, ik ga er ook maar een plaatsen denk ik.

[Jimbolino]

Verwijderd schreef op 23 januari 2004 @ 20:42:
firewal log

ik bedoelde dus de log van de iis server, want dan weet je of het komt door iemand die jullie site bezoekt