Dotaz: Zaujímavý pád daemona Apache

[pupala]

Dobrý deň. Stala sa mi taká zaujímavá vec. Padol mi apache. Zistil som to tak, že jeho PID zmizol. Pokúsil som sa ho reštartovať, ale port 80 bol obsadený. Prebehol som procesmi a zistil som, že síce proces apache neexistuje, ale že existuje proces httpd,ktorý tento port obsadzuje. Ale web stránky nefungovali. Až kill -9 na ten httpd umožnil reštart apache. Odkiaľ sa vzal tento proces? A ako by som zistil, na čo scípol apache? Integrita programov porušená nebola, aspoň tak sa vyjadril samhain, takže hacknutie nepredpokladám. Aj som hľadal v procesoch niečo neštandardné a nič, ani netstat mi nepovedal nič zaujímavé. A teraz otázky. Existuje niečo, čo by som mohol spustiť na sledovanie bežiacich procesov, čo by mi zaznamenávalo udalosti v systéme, ale aj s časmi aby som zistil, ak sa to stane ešte raz, čo sa vlastne udialo, a čo sa dialo tesne pred pádom apache? A ako vzišiel následne proces httpd? A náhodou ste sa už s niečím takýmto už niekto nestretli? Skúšam ešte googliť, ale zatiaľ neúspešne. Debian etch, kernel 2.6.18, služby bind, postfix, apache, iné daemony smartd, openhpid, a 4 sata disky z toho 3 v raid 5.

Ďakujem.

Odpovědi

[Filip Jirsák]

Prebehol som procesmi a zistil som, že síce proces apache neexistuje, ale že existuje proces httpd,ktorý tento port obsadzuje. … Odkiaľ sa vzal tento proces?

Proces httpd je Apache.

[hafieror]

Pokud Vám tam běží dhcp server, tak zastavte nejdřív jej a pak restartujte apache. Mě to dhcp dělá, že shazuje apache. Přes cron si pouštím skript, který to hlídá a případně napravuje.

[pupala]

Nebeží mi dhcpd, a ani nie je nainštalovaný, tak ho nič nemôže ani spustiť.

[pupala]

"www-data 24653 0.0 0.4 105664 8660 ? S 13:33 0:00 /usr/sbin/apache2 -k start" - takto mám štandardne prezentovaný fungujúci apache2. A nie ako httpd. To viem, že httpd je daemon http servera, ale u mňa nie je v procesoch prezentovaný ako httpd ale ako som uviedol vyššie. Ďakujem

[Jirka]

Jak vznikl proces httpd se dá zjistit velmi jednoduše: když zadáte ps -ef tak se vám vedle PIDu zobrazí číslo rodičovského procesu (PPID), který daný proces spustil.
Ohledně sledování systému mě napadá jedině nechat si cronem ukládat v pravidelných intervalech výpis ps, což asi nebude nejelegantnější řešení Ale pokud se děje něco takového jako pád démona, tak by se to mělo objevit v standartních log souborech jako apache/error.log, syslog, messages, daemon.log atp.