Newsgroup: it.comp.os.linux.software
Titolo: Analizzatore di traffico

Salve a tutti,
	sono relativamente niubbo, quindi vi spiego cosa mi serve.
Allora, ho un server in housing in una webfarm. Il server monta una 
Fedora Core 2. Da ieri Apache 2.0.52 ha cominciato a sviluppare un 
traffico anomalo verso un'ip in Korea. Ora, spostato il sito verso il 
quale veniva generato tutto questo traffico, ora noto che firestarter mi 
  segnala un macello di tentativi di connessione a delle porte molto 
alte dal server stesso all'ip in Korea. Ora, ho provato ad arrestare 
quasi tutti i demoni, Apache non centra, e non capisco COSA tenta di 
connettersi all'ip in Korea. Netstat non mi aiuta.
Esiste un software, o qualcosa, che mi permetta di sapere quale 
programma sta facendo queste richieste???
Grazie,
	The Unf.

 programma sta facendo queste richieste???
ps ti dice cosa sta' funzionando e netstat cosa sta' ascoltando.
lsof ti dice chi usa quale porta. Ma se le connessioni partono dal TUO
server deduco che il danno e' gia' stato fatto.
Davide
-- 
My computer, my documents, my briefcase, my ASS!
   -- Ben Cook

 server deduco che il danno e' gia' stato fatto.
Già... temo anch'io...
Ti ringrazio ancora tanto.
Saluti,
	The Unf.

 server deduco che il danno e' gia' stato fatto.
Scusami, ma tu ci trovi qualcosa di anomalo qua?
[root@attila root]# ps -A
   PID TTY          TIME CMD
     1 ?        00:00:01 init
     2 ?        00:00:00 ksoftirqd/0
     3 ?        00:00:00 events/0
     4 ?        00:00:00 khelper
     5 ?        00:00:00 kacpid
    21 ?        00:00:00 kblockd/0
    31 ?        00:00:00 pdflush
    32 ?        00:00:00 pdflush
    34 ?        00:00:00 aio/0
    22 ?        00:00:00 khubd
    33 ?        00:00:01 kswapd0
   107 ?        00:00:00 kseriod
   191 ?        00:00:00 md0_raid1
   192 ?        00:00:00 md1_raid1
   193 ?        00:00:05 kjournald
   381 ?        00:00:00 udevd
  1771 ?        00:00:07 syslogd
  1775 ?        00:00:02 klogd
  1850 ?        00:00:00 rpc.idmapd
  1994 ?        00:00:00 smartd
  2004 ?        00:00:00 acpid
  2038 ?        00:00:00 sshd
  2053 ?        00:00:00 xinetd
  2087 ?        00:00:00 gpm
  2169 ?        00:00:00 mysqld_safe
  2199 ?        00:00:00 mysqld
  2207 ?        00:00:00 mysqld
  2208 ?        00:00:00 mysqld
  2209 ?        00:00:00 mysqld
  2210 ?        00:00:00 mysqld
  2211 ?        00:00:00 mysqld
  2218 ?        00:00:01 mysqld
  2219 ?        00:00:01 mysqld
  2220 ?        00:00:00 mysqld
  2222 ?        00:00:00 mysqld
  2289 ?        00:00:00 xfs
  2318 ?        00:00:00 dbus-daemon-1
  2331 ?        00:00:12 mdadm
  2349 tty1     00:00:00 mingetty
  2350 tty2     00:00:00 mingetty
  2351 tty3     00:00:00 mingetty
  2352 tty4     00:00:00 mingetty
  2353 tty5     00:00:00 mingetty
  2354 tty6     00:00:00 mingetty
  2876 ?        00:05:48 Xvnc
  2886 ?        00:00:00 startkde
  2960 ?        00:00:00 kdeinit
  2964 ?        00:00:00 kdeinit
  2966 ?        00:00:00 kdeinit
  2970 ?        00:00:00 kdeinit
  2971 ?        00:00:01 fam
  2979 ?        00:00:00 artsd
  3051 ?        00:00:00 kdeinit
  3074 ?        00:00:00 kwrapper
  3076 ?        00:00:00 kdeinit
  3077 ?        00:00:07 kdeinit
  3079 ?        00:00:02 kdeinit
  3081 ?        00:00:11 kdeinit
  3082 ?        00:00:00 kdeinit
  3087 ?        00:00:00 kdeinit
  3088 ?        00:00:00 pam-panel-icon
  3090 ?        00:00:00 eggcups
  3092 ?        00:00:00 pam_timestamp_c
  3095 ?        00:00:00 gconfd-2
  3414 ?        00:00:00 consolehelper-g
  3415 ?        00:00:00 userhelper
  3416 ?        11:12:40 firestarter
  6817 ?        00:00:01 kdeinit
  6826 ?        00:00:00 kdeinit
  9021 ?        00:00:00 atd
  9148 ?        00:00:00 crond
  9243 ?        00:00:13 3
  9704 ?        00:00:00 ntpd
  9844 ?        00:00:00 proftpd
10654 ?        00:00:00 httpd
24208 ?        00:00:00 httpd
24262 ?        00:00:00 httpd
24280 ?        00:00:00 httpd
24301 ?        00:00:00 httpd
24305 ?        00:00:00 httpd
24322 ?        00:00:00 httpd
24334 ?        00:00:00 httpd
24336 ?        00:00:00 httpd
24337 ?        00:00:00 kdeinit
24338 pts/0    00:00:00 bash
24357 ?        00:00:00 httpd
24361 ?        00:00:00 sshd
24365 pts/1    00:00:00 bash
24397 ?        00:00:00 httpd
24401 ?        00:00:00 httpd
24403 ?        00:00:00 httpd
24404 ?        00:00:00 httpd
24405 ?        00:00:00 httpd
24409 ?        00:00:00 httpd
24410 ?        00:00:00 httpd
24411 ?        00:00:00 httpd
24412 ?        00:00:00 httpd
24413 ?        00:00:00 httpd
24414 ?        00:00:00 httpd
24415 ?        00:00:00 httpd <defunct>
24416 ?        00:00:00 httpd
24420 pts/1    00:00:00 ps

 Scusami, ma tu ci trovi qualcosa di anomalo qua?
Prova con un netstat -natup
-- 
cat: .signature: No such file or directory

 Prova con un netstat -natup
Che palle... Firestarter mi dice che ci sono 3 connessioni dal mio 
server a 3 ip, ma ne netstat, ne psof me lo mostrano... non so più dove 
sbattere la testa.


magari dico una fesseria, ma il ps lo fai con l'eseguibile residente sul
server o da uno sicuro e pulito?
Perchè se ti avessero intruso e infilato ad esempio un rootkit, quello è uno
dei comandi che viene in genere sostituito da uno tarocco che nasconde i
processi che "non è bello che il sysadmin sappia..."
Magari...
Ciaoooo
Profex

 sbattere la testa.
fai un rpm -Va e controlla se ti hanno cambiato i binari......
ah , prima md5sum sul binario rpm e confronta con uno sicuro ;-)
-- 
Se vuoi giustizia divina, muori.
                -- Nick Seldon