Clamscan auf dem root server, dickes Problem

[Mastershit]

Jaa, wie im titel habe ich probleme mit meinem rot server.

Nach einer gewissen zeit (1-2 tage) schaltet sich bei meinem Server automatisch das tool clamscan ein. Mal davon abgesehn das ich nicht weis was das eigentlich macht, stresst es schon nur durchs einschalten.

Es startet nich nur 1 mal sondern immer 6-10 mal und das geht auf kosten der CPU auslastung, was widerum alle Webseiten die auf dem root liegen extrem verlangsamt (teilweise ladezeiten von 5 minuten und mehr).

Noch dazu erscheinen in einigen gästebüchern(seid neuem auch kontaktformulare...) spameinträge durch "spam-robotter" in der zeit in der clamscan läuft. Ich vermute da einen zusammenhang, weis aber nicht was ich dagegen machen soll.....

[Tomek]

Was ist das denn für ein Gästebuch? Welche Software wird da eingesetzt oder hast du das selbst programmiert?

[stefan.becker]

Clamscan ist ein Virenscanner. Schau mal in /etc/ nach "*clam*" dateien bzw. nach einem Eintrag in der crontab, ob da was automatisch startet.

Auf jeden Fall mehr Infos, außerdem kann man nur mehr Linux Kenntnisse anraten bei Betrieb eines Servers.

[solarix]

Ohne böswillig sein zu wollen...
Aber das sind zum einen sehr wenige Informationen die du uns da gibts, mit raten wird Dir keiner helfen können. Wenn ich nicht total neben der Spur liege heut morgen :-) ist Clamscan ein cron job Script das den Virenscanner Clam Av anstösst.

Eine Frage, was setzt Du für eine Distri ein, wie lange ist die schon installiert und wird der Server regelmäßig mit Sicherheitsupdates versorgt?

Oder schimmelt der ungewartet vor sich hin?
Clamav war eine Zeitlang dafür bekannt, das er ähnlich wie Spamassassin bei Ausführung relativ viel Prozessleistung benötigt.

Erzähl mal etwas mehr, auch über das Gästebuch.

[Mastershit]

ja es geht ja nich um ein gästebuch, sondern um so ziemlich alle die auf dem server installiert sind (firmenserver), also es gibt mehrere selbstprogrammierte aber auch von Woltlab und phpkit, die sind befallen

das clamscan clam av anspricht habbich schon rausgefunden, aber in den cronjobs habbich nichts gefunden, deshalb ja der post hier ^^

updatetechnisch wird er von der firma wo ich ihn miete ständig auf dem laufenden gehalten..

in den letzten 2 tagen hat es sich nicht gemeldet, ich vermute mal das liegt daran das, nach dem ich es gekillt hab ich es einmal manuell durchlaufen habe (was ziemlich schnell ging oO)

[solarix]

ja es geht ja nich um ein gästebuch, sondern um so ziemlich alle die auf dem server installiert sind (firmenserver), also es gibt mehrere selbstprogrammierte aber auch von Woltlab und phpkit, die sind befallen

das clamscan clam av anspricht habbich schon rausgefunden, aber in den cronjobs habbich nichts gefunden, deshalb ja der post hier ^^

updatetechnisch wird er von der firma wo ich ihn miete ständig auf dem laufenden gehalten..

in den letzten 2 tagen hat es sich nicht gemeldet, ich vermute mal das liegt daran das, nach dem ich es gekillt hab ich es einmal manuell durchlaufen habe (was ziemlich schnell ging oO)


Hast Du schon mal deine Logs durchgesehen?

also z.B. /var/log/messages
außerdem wäre ein blick in /var/spool/cron
auch nicht verkehrt.

gibt ein ps -ef|grep clamav
oder clamscan aus das der Prozess läuft?

Außerdem würde es sich auch mal anbieten das Du deine Logs vom Apache überprüfst um zu sehen was da auf dem Webserver mit den PHP Skripten abgeht.

Die php.ini solltest du auch mal überprüfen ob z.B. Register Globals=On noch gesetzt ist, wen dem so ist auf OFF stellen, sollte man eigentlich machen.

Du könntest auch in der php.ini angeben das alles in eine Logdatei geschrieben werden soll, z.B /var/log/php.log diese datei solltest Du mit touch /var/log/php.log anlegen und die Rechte entsprechend setzen. sowie ein Blick in die my.cnf der Mysql ob 3306 nach außen offen ist solltest Du auch mal in Erwägung ziehen.

So noch mal zum Clamav

Da ich nicht genau weiss wo Dein Clamscan liegt, geh ich mal von meiner selbstkompilierten Installation aus.... Die Pfade können also abweichen

Das ist der Cronjob auf meinem privaten Server....

25 00 * * * /usr/local/bin/clamav --quiet -r /das/verzeichnis/wo/deinePostfächerliegen /dev/null

ich scanne jeden Nacht um 00 Uhr 25, das ist deshalb sinnvoll da Clamav ziemlich lang zum scannen braucht und nachts juckt es niemanden. :-)


15 * * * * /usr/local/bin/freshclam --quiet > /dev/null



Zu jeder vollen Stunde überprüft Freshclam ob neue Virensignaturen vorliegen.


Natürlich gibts noch mehrere Optionen und Möglichkeiten wie man Clamav betreiben kann, aber dazu solltest du Dich mal einlesen.

Im übrigen, zeig uns doch mal deine Config Files und deine Logs, sonst läuft das ganze hier wieder nur auf raten heraus und das hilft niemandem... insbesondere Dir nicht.


Mal ne blöde Frage...
haben die jenigen die den Server vermieten und "warten"keine Dokumentation mit hin zu gegeben, außerdem wen die den Server warten, dann sollten sie doch wissen was auf der Kiste abgeht, oder zumindest reagieren wenn man sich bei denen meldet, schließlich werden sie für den Service bezahlt, oder hab ich Dich falsch verstanden?