Newsgroup: it.comp.os.linux.iniziare
Titolo: librerie danneggiate?

Ho la mia SuSE ES 9 che fa i capricci.
Alcuni processi restano zombi con padri stopped.
Tra questi c'è anche il comando sed opportunatamente lanciato.
Quando faccio login sed viene lanciato e poichè resta zombi mi resta
appesa la login. Per risolvere ho rinominato sed in sed.orig; ora mi da
un warning ma almeno mi loggo.
Difficile è stato fargli fare il boot; ho dovuto mettere in Interactive
mode e scegliere di non far partire tutto.
Mi accade che ogni processo si replica come figlio.
esempi:
linux:~ # date
Fri Oct 14 23:44:42 CEST 2005
linux:~ # echo $$
23874
root     23936 23874  0 23:45 pts/0    00:00:00 grep grep
root     23937 23936  0 23:45 pts/0    00:00:00 [grep]
root     23938 23937  0 23:45 pts/0    00:00:00 grep grep
linux:~ # ps xf
20586 ?        T    0:02 tar -c -j -l -v --listed-incremental=root.inc
20591 ?        Z    0:00  \_ [tar] <defunct>
Il processo padre, alla fine della esecuzione, invece di morire si mette
in stopped (T) e il figlio, che non si sa perchè lo crea, si mette in
zombie (Z)
se do un 
# kill -s SIGCONT 20586
del processo stopped, questo va avanti, termina quanto stava facendo (da
un strace si vede che era alla chiusura) e il processo defunct scompare.
root     23799 23798  0 23:33 ?        00:00:00 [grep] <defunct>
# strace -p 23798
Process 23798 attached - interrupt to quit
--- SIGSTOP (Stopped (signal)) @ 0 (0) ---
--- SIGSTOP (Stopped (signal)) @ 0 (0) ---
brk(0)                                  = 0x8065000
brk(0x8065032)                          = 0x8065032
open("/dev/hdx1", O_RDWR|O_CREAT, 0)    = 5
getpid()                                = 23798
fcntl(5, F_SETLK, {type=F_WRLCK, whence=SEEK_SET, start=0, len=0}) = 0
brk(0x8065000)                          = 0x8065000
brk(0)                                  = 0x8065000
brk(0x8065020)                          = 0x8065020
socket(PF_INET, SOCK_PACKET, IPPROTO_EGP) = 6
ioctl(6, 0x8913, 0x8065000)             = -1 ENODEV (No such device)
brk(0x8065000)                          = 0x8065000
_exit(0)                                = ?
Process 23798 detached
sono più o meno tutti così.
Oggi ho notato anche 
# ps -ef|grep def|awk '{print $3}'
Segmentation fault
Mi sta venendo il sospetto delle librerie danneggiate... ma come posso
controllare?
Se avevo un'altra installazione potevo, forse, controllare gli md5 delle
singole librerie e confrontarle, ma non la ho.
Cos'altro può essere successo?
Matteo
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Alcuni processi restano zombi con padri stopped.
Non posso aiutarti, ma una domanda: come lo capisci se un processo è zombie?
-- 
GenTLe ...di Varese, provincia.
TL1000S + Mito 125 per la pista
La mia HP: 
http://digilander.iol.it/thegentle/index.htm
The security business can be scary. If you are the firewall manager, watch
your back.

 Interactive mode e scegliere di non far partire tutto.
Come ti hanno già suggerito, io inizierei a fare un bel controllo su
memoria e hd. Personalmente, con le varie 9.* non ho mai avuto alcun
problema anche installando pacchetti "ufficiosi" e altro.
Comunque, prova a fare un controllo con rpm (opzione -V) ? Se non
ricordo male è linkato staticamente e potrebbe funzionare..
Ciao.
-- 
*** Linux user # 198661 --- ICQ 33500725 ***
***  Home  
http://web.tiscali.it/kailed
  ***
       ***  Powered by SuSeLinux  ***


[...]
Changes in your daily security configuration of linux:
OLD: /var/lib/secchk/security-report-daily      2005-09-28
00:00:01.390580784 +0200
NEW: /var/lib/secchk/security-report-daily.new  2005-10-01
00:00:01.032245792 +0200
* Changes (+: new entries, -: removed entries):
+ af_packet
cioè nell' lsmod, mi sono ritrovato caricato il modulo af_packet.o
Chi o che può mai averlo caricato? oppure, perchè non era caricato 
prima? (ma a cosa serve?)
Prima di cominciare una riparazione dal backup (mirato, visto che il 
backup con l'ultima configurazione funzionante è del 26set), che
suppongo che dovrò fare con boot da cd, vorrei fare qualche analisi 
ulteriore (vorrei anche configurare un'altro server al volo che mi
sostituisca questo, visto che è di produzione)
Consigli?
Grazie, Matteo


Decisamente sono stato bucato !!!!
l'attaccker si è ritrovato un nobody con shell valida 
(non capisco per quale arcano motivo, forse stavo facendo delle prove
ed ho dimenticato di ritorglierla...)
linux:/appl2/backup # last nobody
nobody   pts/0        81.180.167.90    Sun Oct  9 21:46 - 21:47  (00:01)
nobody   pts/0        81.180.167.90    Sat Oct  1 20:11 - 20:16  (00:05)
nobody   pts/1        81.180.167.90    Sat Oct  1 14:06 - 14:06  (00:00)
nobody   pts/0        81.180.167.90    Sat Oct  1 13:14 - 13:18  (00:03)
nobody   pts/0        81.180.167.90    Sat Oct  1 11:35 - 11:35  (00:00)
nobody   pts/3        81.180.167.90    Sat Oct  1 11:28 - 11:28  (00:00)
nobody   pts/2        81.180.167.90    Sat Oct  1 11:22 - 11:28  (00:05)
nobody   pts/1        81.180.167.90    Sat Oct  1 11:22 - 11:28  (00:06)
nobody   pts/0        81.180.167.90    Sat Oct  1 10:51 - 11:28  (00:37)
nobody   pts/1        81.180.167.90    Sat Oct  1 10:16 - 10:47  (00:30)
nobody   pts/0        
ns.ehl-j.jp
      Sat Oct  1 10:15 - 10:26  (00:10)
nobody   pts/0        212.177.133.16   Fri Sep 23 12:44 - 12:44  (00:00)
wtmp begins Thu Aug 11 13:12:51 2005
Io sospetto/spero che l'attacco dannoso sia quello di 
ns.ehl-j.jp
Prima di ripristinare la situazione vorrei anche scoprire se ha
combinato
qualcos'altro oltre il caricamento del modulo, che tuttora è caricato.
Magari nel frattempo posso ripristinare i binari danneggiati e dare un 
rpm-V


 prima? (ma a cosa serve?)
Cosa serva di preciso non lo so, mi pare riguarda i packet_socket ed è
discretamente usato per "cose di rete", da me viene regolamente
caricato..
Puoi provare a fare il boot con il cd e scegliere ripara installazione,
e vedi che cosa andrebbe a toccare, poi decidi il da farsi..


 e vedi che cosa andrebbe a toccare, poi decidi il da farsi..
Grazie,


 mettere in /bin o simili
Non mi ricordo se c'è nei cd, in ogni caso:
http://www.chkrootkit.org/
serve per controllare la presenza di eventuali rootkit...
Temo però visto anche l'altro post, che la macchina sia compromessa e
l'unico modo per essere *veramente sicuri* di risolvere la situazione,
è di piallare tutto e reinstallare.
L'ideale sarebbe clonare il sistema su un'altra macchina *staccata*
dalla rete e li cercare di capire esattamente come sono entrati e/o
cosa hanno combinato di preciso, in modo da poterlo prevenire..


Continuo in un nuovo 3ad.
