PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Verloren in Red Hat Enterprise Linux ES release 4



fistro
04.03.09, 20:53
[UPDATE: bin einen Schritt weiter. s.u. Posting von 1:06h)

Hi alle,

als versierter Debian-Admin und Linux-Freak dachte ich eigentlich immer, mich mit Linux (zumindest bei Server-Systemen) ganz gut auszukenne - BIS HEUTE:

Mein Problem: ich habe einen ziemlich alten, im Betrieb befindlichen Server mit "Red Hat Enterprise Linux ES release 4 (Nahant Update 7)" (laut /etc/redhat-release) zur Wartung aufs Auge gedrückt bekommen. Am liebsten würde ich die Kiste ja platt machen, aber ich muss Sie zumindet am Leben erhalten bis ich durchgeblickt habe. Hier tun sich aber immer mehr Ungereimtheiten auf, die ich nicht verstehe. Nur ein paar Beispiele:

1. Die Prozessliste (ps aux) zeigt mir u.A. einen laufenden MySQL-Server an: "/usr/sbin/mysqld-max --basedir=/ --datadir=/var/lib/mysql --user=mysql ". Auf diesem laufen 5-6 Datenbanken. Gehe ich aber in das angegebene datadir, so finde ich hier nur die DB "mysql". Die Verzeichnisse der anderen Datenbanken sind unauffindbar.

2. Womit wir beim nächsten Problem sind. Der find-Befehl (find . -name xyz) scheint auf manchen Verzeichnissen endlos zu laufen. Ich muss nach 20 Minuten abbrechen.

3. Sehr suspekt: Die Prozessliste (ps aux) zeigt mir Apache-Prozesse wie folgt: "httpd-static -f /home/projekt/conf/server/httpd.conf" . ABER: Das Verzeichnis "/projekt/" gibt es gar nicht (auch nicht versteckt), nur ein Verzeichnis "/home/projekt.bak/...". Auch anderen Config-Dateien verweisen auf dieses nicht vorhandenes "/home/projekt/..." .. In diese "/projekt.bak/" drin liegen dann auch tatsälich die Config-Files, aber wie kann es möglich sein, dass der httpd-Daemon dann überhaupt läuft? (ich hatte auch den Rechner mal neu gestartet). Gibt es unter Red Hat irgendwie so was wie "Verzeichnis-Aliase"

4. der httpd-Daemon wird laut Prozessliste als Benutzer "500" ausgeführt. So einen User oder UID gibts aber gar nicht.

5. Es werden offensichtlich einige Cronjobs ausgeführt, aber ich finde weder in /etc/crontab noch in den Cron-Verzeichnissen (daily etc) Hinweise.

Ansonsten läuft halt noch ein Mailserver (psotfix), clamad, amavis, xinetd und crond auf der Kiste. Auch läuft noch ein weiterer Prozess, der als ""/home/projekt/prozess.sh" gestartet wurde (obwohl es dieses Dir nicht gibt *verzeifel*)

Kann mir hier irgendjemand Anhaltspunkte liefern, wie ich o.g. Probleme in den Griff bekomme oder zumindest verstehe? (schreibt bitte nicht "ls -la" ausprobieren ;-)

Danke vorab und LG,
Jens

GrafKoks
04.03.09, 21:32
Ideen dazu:
- Mal nach rootkits o.ä. suchen (von einem sauberen System aus, natürlich!)
- Vielleicht laufen da bei ausreichend langer Uptime auch bloß noch alte Sachen, deren Einträge/Verzeichnisse/Nutzer längst gelöscht wurden, ohne dass der Verantwortliche auch die Prozesse beendete oder sein Tun ausreichend dokumentierte...

fistro
04.03.09, 21:38
merci für die schnelle Antwort.

> Vielleicht laufen da bei ausreichend langer Uptime ...

das ist naheliegend, aber die Kiste hatte gestern einen astreinen reboot hingelegt. Drum bin ich ja so verblüfft...

> Mal nach rootkits o.ä. suchen ...

auch schon erledigt - ohne Hinweise. (Kenne mich aber mit rootkits auch nicht so megamässig aus)

fistro
05.03.09, 00:14
Habe gerade eine Entdeckung gemacht, die vermutlich zur Lösung führt:
Es gibt auf der Kiste ein Verzeichnis "/legacy/...", hierin liegt noch einmal eine komplette Verzeichnisstruktur, wie man es eigentlich von "/" kennt, also "/legacy/etc/...", "/legacy/var/...", u.s.w.

Unterhalb von /legacy/ finde ich nun auch das vermisste "/legacy/home/projekt/...", die vermissten MySQL-DB-Verzeichnisse und überhaupt alles vermisste.

Es scheint also so zu sein, dass für mich (root auf Konsole) das System ganz normal bei "/" beginnt, für die laufenden Prozesse die Welt aber erst innerhalb von /legacy/ beginnt und daher auch alle Pfade in der Prozessliste (ps aux) ohne dieses "/legacy" erscheinen?

Kann mir hierzu jemand etwas sagen? Das müsste ja eigentlich eine Boot-Einstellung sein, die praktisch mit "chroot(/legacy)" bootet, aber für mich als root auf Konsole eine Ausnahme macht?? Symbolische Links tauchen übrigens nirgendwo auf.

fistro
05.03.09, 02:41
Problem gelöst: tatsächlich sind einige Dienste in einer chroot-Umgebung ausgeführt worden. Habe die Übeltäter nun gefunden :-)