Newsgroup: it.comp.os.linux.sys
Titolo: Ma che è ? {'a href='javascript:doitMsg [etc.etc.]} (X-Post e f/up impostato)

X-post su i.co.l.i, i.c.o.l.software e i.c.o.l.sys - f/up impostato su 
i.c.o.l.sys
Un grande salve a tutti,
in casa abbiamo un serverino casalingo, roba piccola - un PIII 1000 
512RAM, che fa da server di posta per 3, dico 3, account e da web server 
per i blog di famiglia.
Da qualche tempo, ma non saprei dire esattamente da quanto, si blocca ad 
intervalli discontinui; i log nulla dicono.
L'accesso ssh, nei casi succitati, non va e quindi mi son trovata 
costretta a connetterlo ad un KVM per poter leggere direttamente i 
messaggi che eventualmente sarebbero comparsi a schermo.
Fatto questo e riacceso il pc, dopo circa 4 ore di normale attività - 
nel corso della quale il pc non è stato assolutamente toccato, sullo 
schermo compaiono delle serie di X in sequenza di 3, a questo modo:
XXX
XXX
XXX
XXX
[etc.]
Il pc però sembra continuare a funzionare normalmente.
Insospettita decido però di far girare rootkit hunter (si sa mai) che 
non rileva minacce di alcun tipo.
Dopo un paio d'ore dall'evento poco prima raccontato compare a schermo 
la scritta:
{'a href="javascript:doitMsg('Act_View', 1, 
1,'257','aW5ib3g=','aW5ib3g=','0');"','15 Kb'}
A questo punto il pc è inservibile (tastiera che non risponde - ssh 
impossibile - web server che non risponde - imap al quale non ci si può 
connettere etc.) e sono costretta ad un hard reset.
Qualcuno sa cosa significhi e quali siano le eventuali azioni da 
intraprendere prima di dar fuoco al tutto (previo ovvio backup dei dati)?
Ringrazio vivamente.

 Ringrazio vivamente.
http://tinyurl.com/2q5rxp
Ciao
Giovanni
-- 
   A computer is like an air conditioner,
   it stops working when you open Windows.
   Registered Linux user #337974  < 
http://giovanni.homelinux.net/
 >

 
http://tinyurl.com/2q5rxp
E quindi ?
Quella ricerca era già stata fatta dalla sottoscritta e non mi sembra 
che dai 7 link che vi compaiono sia possibile estrapolare il perchè di 
tale evento e/o la soluzione da intraprendere.
O volevi dire qualcosa d'altro ?

 O volevi dire qualcosa d'altro ?
Che se una ricerca con google non può aiutarti, difficilmente, con le 
scarse informazioni che dai, qualcuno potrà farlo se già non ha avuto 
lo stesso problema.


 che tipo...
Simple PHP Blog 0.4.9
Se possono essere utili ulteriori informazioni chiedi pure e grazie per 
l'interessamento.

 stesso problema.
Quindi il senso del tuo post precedente qual era ?
Non sarebbe stato più onesto e congeniale alla mia richiesta porre 
un'affermazione del tipo: "Con così pochi elementi non si può aiutarti" ?
A che pro metter un link ai risultati di un'inutile ricerca su google ?
Mah !

 1,'257','aW5ib3g=','aW5ib3g=','0');"','15 Kb'}
scusa la domanda: tu dici 'compare a schermo' ma dove? cioè in quale
schermo? (una console a cui accedi tramite ssh, dmesg, il terminale fisico
della macchina?)

 A che pro metter un link ai risultati di un'inutile ricerca su google ?
magari provava a spiegarti che hai sbagliato 'sintomo'
non è detto che il blocco del sistema sia causato da 'quella stringa', un
buon primo passo potrebbe essere quello di leggere il contenuto dei vari
files generati da syslog (trovi niente in /var/log/messages oppure nei log
di apache?)
un secondo passo potrebbe essere quello di disattivare apache quindi di
verificare se il problema persiste
un terzo passo potrebbe essere quello di controllare se ci sono 'intrusi'
nelle directory /tmp e /var/www
nel modo in cui poni il problema è veramente difficile aiutarti

 
Ciao,
anche a me sà di exploit ....
Di sicuro il tuo server non risponde in quanto finisce le risorse ( mi 
sa di exploit dos ) visto che putty ti rimane appeso ....
Non puoi provare a collegarti in console per vedere che succede ?
.!

 della macchina?)
Ovviamente il terminale fisico della macchina visto che avevo premesso: 
"L'accesso ssh, nei casi succitati, non va e quindi mi son trovata 
costretta a connetterlo ad un KVM per poter leggere direttamente i 
messaggi che eventualmente sarebbero comparsi a schermo.".
:-D

 Non puoi provare a collegarti in console per vedere che succede ?
*Sono* collegata in console ed è dalla console che leggo tale messaggio ?
Ma, tanto per sapere, l'hai letto il post d'inizio thread ?
;-|

 fai un bel grep 'memory' in /var/log/messages
root@linax $ grep 'memory' /var/log/messages
Dec  4 23:44:29 linax kernel: Freeing unused kernel memory: 124k freed
Dec  4 23:44:29 linax kernel: agpgart: Maximum main memory to use for 
agp memory: 439M
Dec  4 23:48:05 linax kernel: Freeing unused kernel memory: 124k freed
Dec  4 23:48:05 linax kernel: agpgart: Maximum main memory to use for 
agp memory: 439M
Dec  5 08:57:39 linax kernel: Freeing unused kernel memory: 124k freed
Dec  5 08:57:39 linax kernel: agpgart: Maximum main memory to use for 
agp memory: 439M
Dec  5 23:27:27 linax kernel: Freeing unused kernel memory: 124k freed
Dec  5 23:27:27 linax kernel: agpgart: Maximum main memory to use for 
agp memory: 439M

 nel modo in cui poni il problema è veramente difficile aiutarti
La risposta già data a Giovanni mi sembra chiara e non volendo fare 
sterile polemica temo sia meglio chiudere qui quel ramo del thread...;-)

 Ovviamente il terminale fisico della macchina visto che avevo premesso:
a parte il tono non proprio carino, il tuo, l'unico suggerimento che mi
viene in mente è tentare di isolare i vari componenti quindi andare per
esclusione.
hai controllato di non avere immondizia in /var/www e /tmp?
hai controllato di non avere errori di qualche genere nei log di apache?
se ne hai la possibilità, potresti controllare quali processi girano sulla
macchina e quante risorse occupano (uno script bash dovrebbe bastare allo
scopo). 
peraltro, simple php blog non sembra il massimo della sicurezza

 hai controllato di non avere errori di qualche genere nei log di apache?
ok.. ho letto la tua risposta dall'altra parte dopo aver questo questo
io farei un piccolo script che salva su un file alcune informazioni
essenziali sulla macchina (processi e carico di sistema di fondo).
se il blocco dipende dall'impossibilità di allocare memoria, immediatamente
prima dovresti avere un picco di RAM occupata ed un programma che lo
genera.
Io per prima cosa proverei a chiudere apache quindi a verificare se il
problema persiste. Toglierei (a prescindere) anche samba.
In certi casi, problemi ai chip della RAM possono generare errori 'strani',
un memtest non farebbe male, almeno per scrupolo.

 convinto che sia un qualche exploit sul codice del blog.
il blog è in php
tu hai mai visto una applicazione php (cgi) capace di scrivere sulla
console?
(a me mai capitato)

 convinto che sia un qualche exploit sul codice del blog.
Non so, ora vedrò le risposte degli admin del forum.
Nel contempo sono ricomparse le serie di 3 X (vedi foto @ 
http://tinypic.com/view.php?pic=8ajxxsk&s=0
).

 peraltro, simple php blog non sembra il massimo della sicurezza
Sì.

 Ringrazio vivamente.
se sono servito a qualcosa, prego