Skummel mail fra min CRON demon!

Du kan starte med at undersøge hvad din cron egentlig kører af spændende ting.
lav en \"crontab -l\"
På en std linux, står der bare at den kører hvad der ligger i /etc/cron.daily, /etc/cron.monthly og /etc/cron.weekly - der kan dog også stå specifikke programmer så kig lige efter.
Da du får mailen hver dag må du kigge på hvad der ligger i /etc/cron.daily.
Prøv at se om der ligger noget som hedder sa eller noget i den retning, og prøv at se hvad der står i den fil....

Med en \"crontab -l\" får jeg dette resultat:

# DO NOT EDIT THIS FILE - edit the master and reinstall.
# (/tmp/crontab.11165 installed on Sun Nov 19 14:44:20 2000)
# (Cron version -- $Id: crontab.c,v 2.13 1994/01/17 03:20:37 vixie Exp $)
0 8 * * 0-7 uptime | mail 29441582@sms.tdm.dk

det er din personlige crontab, den sender til uptime til din mobil med jævne mellemrum.
Lav en su først - eller log ind som root - det er master crontab\'en du skal have....

Er inde som root :)

dammn, så må det være en anden brugers crontab ... - underligt !!!
for der ser ud til at køre som root med home=/ og logname=root...
Jeg aner det ikke så.

Ikke at det er sandsynlig men kan du ikke lige for en god ordensskyld checke at der kun er en bruger med userid = 0 (root)

køre en \"grep \":0:\" /etc/passwd\"
Den skulle gerne returnere noget i retning af dette
root:x:0:0:root:/root:/bin/bash
og kun den ene linie

Hmm, her er hvad den kommer med

root:x:0:0:root:/root:/bin/bash
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
operator:x:11:0:operator:/root:
lojmann:x:500:0:Thomas Løjmann Jørgensen:/home/lojmann:/bin/bash

hmmm, der er lagt flere brugere i \"root\" gruppen - ok, bare der ikke er flere brugere med id=0, da næsten sikkert er lig med hackning....

Jeg har ikke flere gode ideer nu, men du kan evt prøve at checke crontab -l for operator, da den jo netop har /root som shell ...

Hvis ikke det giver noget, må jeg give fortabt - godt nytår!

Hvad mener du med: \"da næsten sikkert er lig med hackning....\" ???

Jeg har selv smidt brugeren lojmann ind i gruppen \"root\" men de andre må være noget systemet har lavet, er det en sikkerheds risiko at de er i den gruppe?

Forkert formulering for min side.
grunden til at jeg bad dig lave en grep \"0\".... var for at checke om der der var flere brugere med id=0, dette er nemlig lig hackning/crackning.
Det var der ikke, der er mange i gruppe 0, men kun en med user id 0 - så ingen problemer.
Det var bare en tanke jeg fik da ikke crontab -l for root viste noget.

Hmm, har du slet ingen ide? Jeg kunne jo bare lave et script som laver den skide fil for de næste 1000 år, men det er jo lidt dumt!

Prøv at se om du har et program sa installeret - se hvad det er (man sa)
Prøv at kigge under /etc/logrotate.d/ om der ligger noget sa der (det er stedet hvor logrotate configureres - og det kunne godt ligne noget logrotate, som hver dag mener at loggen skal over i en ny fil....

Hmm... Se lige dette her:

[root@lojmann sa]# cd /usr/lib/sa
[root@lojmann sa]# ls
crontab.sa  sa1  sa2  sadc
[root@lojmann sa]# man sa
No manual entry for sa
[root@lojmann sa]# cat crontab.sa
# Crontab sample for root or adm
# Please update this crontab with the proper location
# for sa1 and sa2 shell scripts (replace PREFIX with /usr or /usr/local).
#
# 8am-7pm activity reports every 20 minutes during weekdays.
# 0 8-18 * * 1-5 /usr/lib/sa/sa1 1200 3 &
# activity reports every 10 minutes everyday.
0 * * * * /usr/lib/sa/sa1 600 6 &
#
# Activity reports every an hour on Saturday and Sunday.
# 0 * * * 0,6 /usr/lib/sa/sa1 &
#
# 7pm-8am activity reports every an hour during weekdays.
# 0 19-7 * * 1-5 /usr/lib/sa/sa1 &
#
# Daily summary prepared at 19:05.
# 5 19 * * 1-5 /usr/lib/sa/sa2 -A &
5 19 * * * /usr/lib/sa/sa2 -A &
[root@lojmann sa]#

[root@lojmann sa]# cd /etc/logrotate.d
[root@lojmann logrotate.d]# ls
ftpd  linuxconf  named  syslog
[root@lojmann logrotate.d]#

Hmmmm her er der helt klart fat i noget den nederste linie i forrige posting er jo netop den der kører.

Nu skal du bare
1) finde ud af hvor den startes så du kan slå den fra
2) eller fjerne fejlen, så du ikke får det underlige output.

For at 1, må du nok gennem crontabs for diverse brugere - prøv fx adm hvis du har en sådanne, der står jo at det er et sample for root eller adm....

For at 2 er må du lige kigge på sa2 scriptet og evt bare tømme det for indhold dermed laver det jo intet - og giver ingen fejl ...

Jeg har ikke SA på nogen af mine maskiner, så jeg aner ikke hvad det er...

Hmm... Der var, for brugeren lojmann, en fejl i crontab, dvs. der var en kommando som var skrevet forkert, men jeg tror nu ikke det er det som er problemet, men jeg har fjernet den, naturligvis, så vi ser om fejlen kommer igen imorgen...

Nu er det KUN root som har noget i crontab, da jeg har fjernet det ene job som var der for lojmann

Hmm... Jeg tror sku at det var fordi der var en fejl i en brugers crontab, at den kom med den fejl... Jeg har ikke modtaget nogle mails endnu fra systemet, så jeg tror at det var det...

Hmmm, spøjst at det var det der gjorde det, men fedt at det er løst!

Yep...

Hmm... Nu har jeg reinstalleret, og der var ikke noget galt! (den kom sq igen senere!!!)

Det virkede, nul fejl!
Så opdaterede jeg en del pakker, og nu er den kommet igen... Skummelt!

jammen du har vel igen fået installeret den aktuelle pakke

prøv rpm -qa | grep \"*sa*\" og se om der er nogle pakker der hedder sådan (på en redhat)

Wise -> Du kan ikke bruge stjerner (*) her, så kommer der ikke noget!

Men uden stjerner (*) kom flg.:

Mesa-3.3-5
samba-2.0.7-21ssl
samba-common-2.0.7-21ssl
Mesa-devel-3.3-5
samba-client-2.0.7-21ssl
sash-3.4-8
xscreensaver-3.25-4
cyrus-sasl-1.5.24-11

Det eneste som jeg ikke aner hvad er, og som jeg vil tro det evt. kunne være, er Mesa-3.3-5 (incl. devel), sash-3.4-8 eller cyrus-sasl-1.5.24-11 - hvad er det? Er det mon den?