Salut,

Je sais que c'est pas la bonne section, j'ai aussi posté dans la bonne, mais je pense que celle ci est plus active que celle ou je devrais poster mais bon, mon problème est assez embetant et je dois le régler le plus vite possible...

J'ai un serveur dédié chez OVH qui tourne sur fedora4 qui a subi une attaque (info provenant de chez OVH) et il y a plusieurs dizaines de milliers de messages dans la file d'attente.

Comment faire pour réinitialiser/effacer cette file d'attente ?

Merci de votre aide.



Nouvelle info, lorsque je fais un ps-e, je trouve une vingtaine de processus appellés soretyu.cgi


Un mail provenant de chez OVH me dit :


Bonjour,

Actuellement votre serveur a du être victime d'un hacker qui a mis en
place un script qui envoi des spam a partir de votre serveur

Out of memory: kill process 20098 (soretyu.cgi) score 2218 or a child
Killed process 20098 (soretyu.cgi10023 12109 5.8 0.2 8792 5752 ?
Ss Mar10 279:58 /usr/bin/perl -w soretyu.cgi


10023 15557 7.1 0.2 8488 5620 ? Rs Mar11 231:21
/usr/bin/perl -w soretyu.cgi
10023 29542 6.2 0.2 8536 5492 ? Ss Mar11 199:24
/usr/bin/perl -w soretyu.cgi
10023 32512 7.0 0.3 8304 6256 ? Rs Mar11 207:13
/usr/bin/perl -w soretyu.cgi
10023 32531 7.0 0.3 8248 6200 ? Ss Mar12 132:20
/usr/bin/perl -w soretyu.cgi
10023 12418 7.7 0.3 9216 7164 ? Ss Mar12 138:23
/usr/bin/perl -w soretyu.cgi
10023 25532 7.6 0.3 9080 7028 ? Ss Mar12 135:32
/usr/bin/perl -w soretyu.cgi
10023 10910 8.0 0.3 8412 6348 ? Rs Mar12 137:20
/usr/bin/perl -w soretyu.cgi
10023 21437 8.6 0.3 8744 6720 ? Ss Mar12 131:26
/usr/bin/perl -w soretyu.cgi
10023 17452 8.6 0.3 8304 6256 ? Ss Mar12 122:15
/usr/bin/perl -w soretyu.cgi
10023 17057 7.6 0.3 8316 6264 ? Ss 01:25 77:39
/usr/bin/perl -w soretyu.cgi
10023 14113 7.1 0.3 8736 6664 ? Ss 02:42 66:20
/usr/bin/perl -w soretyu.cgi
10023 28999 8.8 0.3 8592 6536 ? Rs 10:49 39:08
/usr/bin/perl -w soretyu.cgi
10023 29293 8.1 0.3 8556 6500 ? Rs 10:55 35:56
/usr/bin/perl -w soretyu.cgi
10023 16470 7.5 0.3 8444 6384 ? Rs 12:14 27:15
/usr/bin/perl -w soretyu.cgi
10023 14497 8.2 0.3 8248 6200 ? Rs 12:41 27:29
/usr/bin/perl -w soretyu.cgi
10023 31719 7.3 0.2 8232 6176 ? Ss 12:56 23:19
/usr/bin/perl -w soretyu.cgi
10023 1915 7.3 0.3 9900 7788 ? Rs 14:51 14:57
/usr/bin/perl -w soretyu.cgi
10023 18119 7.9 0.3 8808 6756 ? Rs 15:41 12:14
/usr/bin/perl -w soretyu.cgi
10023 10600 7.1 0.2 7796 5732 ? Rs 17:36 2:44
/usr/bin/perl -w soretyu.cgi

Voilà toutes les infos que j'ai.
En même temps conserver un dédié avec une version non maintenue c'est vraiment pas sérieux...
Aucune protection face aux nouvelles failles de sécurité découvertes régulièrement.

Pour les messages, il suffit de vider le /var/spool/mqueue (sendmail arrêté)


++
je suis bien d'accord sur ce point, mais un serveur avec des dizaines de sites dessus, si l'update foire, bonjour les dégats...

/var/spool/mqueue est déjà vide, quedal à l'intérieur
vu que c'est un .cgi par pur hazard tu aurais pas awstats, pas a jour de qui plus est ?¿

enfin pour etre plus precis dans mes option voi si tu peu pas bloquer directement le dis .cgi
comment bloquer le CGI ?
Je ne peux faire aucun kill #numéro_processus sur les soretyu.cgi
Aucun ne se ferme. j'ai plein de processus de qmail dont un qui est en <defunc> mais qui ne veut pas se virer

j'ai effectivement awstats.
j'ai fait un find /var/www -name soretyu.cgi
aucune réponse....
Je suis étonné qu'OVH ne soit pas plus exigent sur ce point! étonnant de la part d'un hébergeur que de proposer des systèmes à faible durée de support... Surtout que cela revient encore moins chère à passer sur CentOS vu que le support est assuré pendant longtemps et donc des économies!
je passerai volontier à quelque chose de mieux si je pouvais. Mais vous devez tous savoir que c'est pas forcément évident et que ca se passe pas toujours comme on le souhaiterait......Y'a des BDD, des utilisateurs, des permissions, des chemins, des scripts contenant des chemins en dur (hé oui, certains vieux scripts peuvent être pourris)....Tout ca, ca demande plusieurs jours, et quand y'a plusieurs dizaines de clients sur un serveur, on peut pas se permettre, dejà, y'a plus de messagerie...
Donc certes, la migration, j'y pense et c'est le prochain objectif une fois cette merde réglée, mais tout d'abord, je dois rétablir la messagerie.

Avec des kill -9 #id, j'arrive a tuer les processus cgi, mais bon, ils vont probablement revenir...
Quelqu'un a une idée sur ce que je pourrai faire ?
Salut,

Tu pourrais mettren en place un petit script shell que tu lancerais à fréquence tres courtes, qui permettrait de tuer tous les process contenant l'extension cgi, si tu es sur et certain que sur ton serveur tu n'as pas de site web utilisant de cgi.

ps -eaf >> tous_mes_process.txt
une boucle for sur le fichier recherchant avec un sed ou autre commande le numéro du process contenant un fichier cgi...
et tu tues avec le kill -9 le process en question.

PS : j'ai eu une fois une attaque à cause d'un site basé sur un portail tout fait, genre phpnuke, postnuke, joomla ou autre, je ne sais plus lequel.

Bon courage.
teh_advizor wrote:je suis bien d'accord sur ce point, mais un serveur avec des dizaines de sites dessus, si l'update foire, bonjour les dégats...
Et si quelqu'un prend le contrôle de la machine par le biais d'une faille et efface le contenu des disques, par sûr que ce soit mieux.
AU passage... C'est qui qui a mis FC4 toi ou OVH?
Il me semble qu'à une époque OVH proposait FC4 avec Plesk.... (qui marchait pas encore sous CentOS 5)... beurk (plesk)

+
bon un cgi est un script, il dois être dans ton répertoire cgi-bin de ton serveur. (ce serais le meilleur des cas)
si il n'y est pas c'est que tu a une faille du type "awsats pas a jour grave", y a eu une faille de comblé permettant ce type de souci.
une faille permettant d'apeller un script externe et de le lancer sur le serveur.
donc a voir de ce cotes.

si ton fichier .cgi n'est pas sur ton serveur, il vas te falloir passer les log a la moulinette et trouver quel est le script qui merde et laisse exécuter un cgi externe sur ton serveur.
si il est sur ton serveur il faudra trouver comment il est entrée ...
remi wrote:Il me semble qu'à une époque OVH proposait FC4 avec Plesk.... (qui marchait pas encore sous CentOS 5)... beurk (plesk)
plesk est la PLAIE des sites dédiés, la première chose que je fais c'est le court-circuiter.