Newsgroup: it.comp.os.linux.sys
Titolo: Strano blocco del sistema

Mentre ero da un cliente mi chiamano dicendomi che il server non
risponde. Provo ad entrare con ssh e mi da errori di allocazione memoria,
impossibilità a caricare la libc.so.6 e altre amenità. Nel frattempo giù
telefonate di clienti che non accedevano ai servizi
Volo in ufficio, attacco tastiera e monitor e.... va tutto bene.
I servizi erano ripartiti, nessun blocco o altro. L' unica cosa che ho
trovato nei log sono un pacco di 
Jun 20 17:45:25 dns kernel: Unable to load interpreter /lib/ld-linux.so.2
Jun 20 17:45:35 dns kernel: Unable to load interpreter /lib/ld-linux.so.2
Jun 20 17:45:40 dns kernel: Unable to load interpreter /lib/ld-linux.so.2
Jun 20 17:45:40 dns kernel: Unable to load interpreter /lib/ld-linux.so.2
Jun 20 17:45:40 dns kernel: Unable to load interpreter /lib/ld-linux.so.2
Jun 20 17:45:43 dns kernel: Unable to load interpreter /lib/ld-linux.so.2
Jun 20 17:45:45 dns kernel: Unable to load interpreter /lib/ld-linux.so.2
e anche dei
Jun 20 17:48:41 dns syslog-ng[73]: Error accepting AF_UNIX connection, opened connections: 100, max: 100
Jun 20 17:48:41 dns syslog-ng[73]: Error accepting AF_UNIX connection, opened connections: 100, max: 100
Jun 20 17:48:41 dns syslog-ng[73]: Error accepting AF_UNIX connection, opened connections: 100, max: 100
Jun 20 17:48:41 dns syslog-ng[73]: Error accepting AF_UNIX connection, opened connections: 100, max: 100
Jun 20 17:48:42 dns syslog-ng[73]: Error accepting AF_UNIX connection, opened connections: 100, max: 100
condito con un po' di messaggi di uccisione di vari processi.
Cosa curiosa, nei log del dns dei tentativi di update del nameserver
client 151.15.146.157#1890: update denied
L' IP appartiene infostrada ma io ho wind e mi gestisco i dns da solo.
Adesso tutti i servizi sono su (pgsql, qpopper, postfix, sshd, proftpd,
syslog-ng, apache+php+apc,tacacs e probabilmente qualche altro che adesso
non ricordo) e la macchina va proprio bene.
Il netstat ha dato una bella strisciata di roba
Cosa diamine potrebbe essere? 
E' la prima volta che mi succede un casino del genere; da dove si alzano
gli AF_UNIX?
Linux 2.2.19, slack 7.1, bind 9.1.2, gli altri sw alla ultima versione a
parte proftpd1.2.0rc2 (la 1.2.1 mi aveva fatto casino e non mi faceva
autenticare tutti gli utenti).
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il giovane marito si ammira nudo allo specchio...
	"Vedi cara, con qualche centimetro in più sarei un re"
	e la moglie "e con qulche centimetro di meno saresti una regina!"

Adesso tutti i servizi sono su (pgsql, qpopper, postfix, sshd, proftpd,
Io lasciai "scatenare" la macchina per circa 10 min., con i led dei
dischi fissi (SCSI) sempre accessi, poi d'improvviso tutto e' tornato
normale, tranne 2 servizi morti che ho dovuto riavviare a mano.
Per inciso, stesso kernel (2.2.19).
Cmq e' una cattiva idea far girare bind su una macchina che fa altre
cose, specie se e' una macchina di produzione. Metti bind solo soletto
su un'altro pc (ti basta un 386), possibilmente untrusted.
-- 
Sostituisci nospam con daniel.kobza per rispondere via e-mail

 Jun 20 17:48:41 dns syslog-ng[73]: Error accepting AF_UNIX connection, opened connections: 100, max: 100
Ciao, *sembra* un attacco DoS al dns, sembra sottolineato 30
volte (sono ignorante in tema sicurezza e molti altri).
Ciao Francesco.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>

 Ciao Francesco.
Ti consiglio di andare a vedere in 
www.iss.net
 per i buchi nella versione
del tuo BIND,
potrebbe effettivamente essere un tentativo di intrusione o un attacco Dos
tramite bind.
La puzza di marcio avresti dovuto sentirla proprio dall'IP di infostrada.
Forse piů un tentativo di intrusione che un Dos.
Per sicurezza se hai la macchina in locale farei un controllo piů
approfondito con
qualche forensis toolkit, magari di notte o quando i tuoi clienti non sono
collegati.

 
Mi toccherà andare ad elemosinare un altro PC (mi sa che non mi basta un
386: ci sono circa 300 zone a cui fare da primario)
Comunque un ottimo esempio di stabilità: tutti i processi padri sono su
tranquilli e beati!


 
Purtroppo avevo ucciso l' iplog per la tonnellata di file che mi faceva,
mi sa che lo rialzo per qualche giorno..
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il giovane marito si ammira nudo allo specchio...
	"Vedi cara, con qualche centimetro in piů sarei un re"


Altra cosa divertente (mica tanto :(((( )
Ho riattivato iplog e mi trovo un po' di portscan, tra cui uno da una mia
macchina...
Jun 21 11:17:00 UDP: scan/flood detected to 
dns.tosnet.it
 (212.141.168.4) [port 53] from
www.xxxx.com
 (212.141.168.11) [ports 1748,1749,1751,1752,1753,...]
Jun 21 11:17:52 UDP: scan/flood mode to 
dns.tosnet.it
 (212.141.168.4) expired for
www.xxxx.com
 (212.141.168.11) - received a total of 43 packets (1782 bytes).
Cosa strana il .com come dominio (in realtà il principale è .it, ma forse
ho un problema di reverse), la
porta è quella del dns: cosa cercava di ravanare da quelle porte?
Potrebbe essere apache (non c'è il proxy ma solo servizi di posta, web,
postgres e ssh)
Se è una cosa normale, perchè l' iplog segna scan/flood?
Grazie


Se è una cosa normale, perchè l' iplog segna scan/flood?
non conosco bene iplog, in genere quando vado in paranoia uso tcpdump ;)
Probabilmente fa un banale calcolo pkt/sec, senza considerare troppo le
circostanze (dns server), ed e' bene che sia cosi'.


 wrote:

Effettivamente lui segnala uno scan quando sono coinvolte più porte al
volo (anche dal mio firewall).
