Linux Forum — Httpd, Logwatch 7.3 и их логи

Re: Httpd, Logwatch 7.3 и их логи

null@example.com (Hrafn) — Thu, 23 Sep 2010 16:48:39 +0000

Не за что

Re: Httpd, Logwatch 7.3 и их логи

null@example.com (mfogtu) — Thu, 23 Sep 2010 16:27:00 +0000

Замучали меня китайцы уже просто в ...., америкосы то же портят настроение) правда как вы посоветовали fail2ban у них настроение стало падать)) а то взломать пытались сервак с 05.04.10 по 21.09.10 все брутом походу. Щас баны сыпет по 10-12 штук в день) да и /var/log/secure стал почище... Еще раз спс!

Re: Httpd, Logwatch 7.3 и их логи

null@example.com (Hrafn) — Thu, 23 Sep 2010 16:15:49 +0000

mfogtu пишет:

Очень интересен вот этот блок:
Illegal users from:
89.27.25.26 (cs27025026.pp.htv.fi): 10 times
125.46.13.139 (hn.kd.ny.adsl): 1 time
192.168.1.122: 5 times

это кто-то пытался залогиниться через SSH, они не лазили у вас

Re: Httpd, Logwatch 7.3 и их логи

null@example.com (mfogtu) — Thu, 23 Sep 2010 16:02:42 +0000

Вот кусок лога:

################### Logwatch 7.3 (03/24/06) ####################
        Processing Initiated: Wed Sep 22 04:02:01 2010
        Date Range Processed: yesterday
                              ( 2010-Sep-21 )
                              Period is day.
      Detail Level of Output: 0
              Type of Output: unformatted
           Logfiles for Host: host.mfogtu.ru
  ##################################################################
--------------------- SSHD Begin ------------------------


 Disconnecting after too many authentication failures for user:
    root : 2 Time(s)

 Failed logins from:
    59.49.16.199: 5 times
    89.27.25.26 (cs27025026.pp.htv.fi): 10 times
    95.107.40.237 (95-107-40-237.dsl.orel.ru): 2 times
    125.46.13.139 (hn.kd.ny.adsl): 3 times
    190.241.168.74: 5 times

 Illegal users from:
    89.27.25.26 (cs27025026.pp.htv.fi): 10 times
    125.46.13.139 (hn.kd.ny.adsl): 1 time
    192.168.1.122: 5 times

 Users logging in through sshd:
    root:
       95.107.40.237 (95-107-40-237.dsl.orel.ru): 1 time
 Received disconnect:
    11: Bye Bye : 34 Time(s)

 **Unmatched Entries**
 pam_succeed_if(sshd:auth): error retrieving information about user teamspeak : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user oracle : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user stephanie : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user guest : 1 time(s)
 PAM service(sshd) ignoring max retries; 7 > 3 : 2 time(s)
 reverse mapping checking getaddrinfo for hn.kd.ny.adsl failed - POSSIBLE BREAK-IN ATTEMPT! : 4 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user gary : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user william : 1 time(s)
 PAM 6 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=95-107-40-237.dsl.orel.ru  user=root : 2 time(s)
pam_succeed_if(sshd:auth): error retrieving information about user fdsf : 5 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user test : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user aaron : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user gt05 : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user trash : 1 time(s)
 pam_succeed_if(sshd:auth): error retrieving information about user stud : 1 time(s)

 ---------------------- SSHD End -------------------------

Очень интересен вот этот блок:

 Illegal users from:
    89.27.25.26 (cs27025026.pp.htv.fi): 10 times
    125.46.13.139 (hn.kd.ny.adsl): 1 time
    192.168.1.122: 5 times

Что это за такие пользователи? они лазили у меня через консоль? Заранее СПС!

Httpd, Logwatch 7.3 и их логи

null@example.com (mfogtu) — Wed, 22 Sep 2010 09:14:38 +0000

После запуска httpd в логе /var/log/httpd/error_log образуется странные строки не подскажите что они значат??

[root@host httpd]# ls -al /etc/httpd/logs
lrwxrwxrwx 1 root root 19 Сен  8 10:15 /etc/httpd/logs -> ../../var/log/httpd
[root@host httpd]# cd /var/log/httpd
[root@host httpd]# ls -al
итого 20
drwx------  2 root root 4096 Сен 22 12:50 .
drwxr-xr-x 14 root root 4096 Сен 22 09:36 ..
-rw-r--r--  1 root root    0 Сен 22 12:50 access_log
-rw-r--r--  1 root root  345 Сен 22 12:50 error_log
[root@host httpd]# cat error_log
[Wed Sep 22 12:50:24 2010] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
[Wed Sep 22 12:50:24 2010] [notice] Digest: generating secret for digest authentication ...
[Wed Sep 22 12:50:24 2010] [notice] Digest: done
[Wed Sep 22 12:50:24 2010] [notice] Apache/2.2.3 (CentOS) DAV/2 PHP/5.1.6 configured -- resuming normal operations
[root@host httpd]#

Заранее спс! Я что то не пойму это я что то экзотичное поймал?

P.S. Поправьте если не прав, это что то для запуска CGI скриптов от другого имени... но почему в ошибках? что то не правильно сконфигурировано?