[Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

Приветствую.

Есть необходимость понять, что запускает apache. Висит вот такой
процесс:

  PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
 2510 apache    15   0  3440 3440 1664 R 99.9  0.2 115:07.59 perl

# ps auwwx|grep 2510
apache    2510 99.9  0.1   4916  3440 ?        R    Nov17 115:20 /usr/bin/web/httpd

Кстати странно, ps показывает одно имя, а top другое...

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Konstantin A. Lepikhov]

Hi Sergey!

Sunday 18, at 12:26:45 AM you wrote:

> Приветствую.
> 
> Есть необходимость понять, что запускает apache. Висит вот такой
> процесс:
> 
>   PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
>  2510 apache    15   0  3440 3440 1664 R 99.9  0.2 115:07.59 perl
strace -p <PID>

> 
> # ps auwwx|grep 2510
> apache    2510 99.9  0.1   4916  3440 ?        R    Nov17 115:20 /usr/bin/web/httpd
> 
> Кстати странно, ps показывает одно имя, а top другое...
top округляет до имени процесса. 

-- 
WBR et al.

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On 18 ноября 2007, Konstantin A. Lepikhov wrote:

> > Есть необходимость понять, что запускает apache. Висит вот такой
> > процесс:
> > 
> >   PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
> >  2510 apache    15   0  3440 3440 1664 R 99.9  0.2 115:07.59 perl

> strace -p <PID>

Это непосредственно, что исполняется... Но это не даёт понимания того, что
именно было запущено и у кого в home битый скрипт искать. :-(

> > # ps auwwx|grep 2510
> > apache    2510 99.9  0.1   4916  3440 ?        R    Nov17 115:20 /usr/bin/web/httpd
> > 
> > Кстати странно, ps показывает одно имя, а top другое...

> top округляет до имени процесса. 

так в выводе ps "perl" вообще же отсутствует ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On 18 ноября 2007, Sergey wrote:

> # ps auwwx|grep 2510
> apache    2510 99.9  0.1   4916  3440 ?        R    Nov17 115:20 /usr/bin/web/httpd
 
Эх, весьма неплохо было бы, если бы httpd показывал, что делает... Как sendmail,
к примеру. Интересно, нигде патча на эту тему нет ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Konstantin A. Lepikhov]

Hi Sergey!

Sunday 18, at 01:13:21 AM you wrote:

> On 18 ноября 2007, Konstantin A. Lepikhov wrote:
> 
> > > Есть необходимость понять, что запускает apache. Висит вот такой
> > > процесс:
> > > 
> > >   PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
> > >  2510 apache    15   0  3440 3440 1664 R 99.9  0.2 115:07.59 perl
> 
> > strace -p <PID>
> 
> Это непосредственно, что исполняется... Но это не даёт понимания того, что
> именно было запущено и у кого в home битый скрипт искать. :-(
/proc/<PID>/cmdline. Вообще в /proc/ много интересного о процессах есть :)

> 
> > > # ps auwwx|grep 2510
> > > apache    2510 99.9  0.1   4916  3440 ?        R    Nov17 115:20 /usr/bin/web/httpd
> > > 
> > > Кстати странно, ps показывает одно имя, а top другое...
> 
> > top округляет до имени процесса. 
> 
> так в выводе ps "perl" вообще же отсутствует ?
если он вызывается неявно, то может и отсутствовать. 

-- 
WBR et al.

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Peter Volkov]

[-- Attachment #1: Type: text/plain, Size: 523 bytes --]

В Вск, 18/11/2007 в 02:38 +0400, Sergey пишет:
> Эх, весьма неплохо было бы, если бы httpd показывал, что делает... Как sendmail,
> к примеру. Интересно, нигде патча на эту тему нет ?

А возможно вставить в cgi скрипт печать всей интересующей отладочной
информации в файл? Вроде это проще, чем патчить httpd...

-- 
Peter.

[-- Attachment #2: Эта часть сообщения подписана цифровой подписью --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On 18 ноября 2007, Konstantin A. Lepikhov wrote:

> > > strace -p <PID>
 
> > Это непосредственно, что исполняется... Но это не даёт понимания того, что
> > именно было запущено и у кого в home битый скрипт искать. :-(

> /proc/<PID>/cmdline.

Там только исходный процесс:

# cat /proc/2510/cmdline
/usr/bin/web/httpd

есть ещё симлинк exe на /usr/bin/perl5.8.7.

> Вообще в /proc/ много интересного о процессах есть :) 

Да, в общем, знаю... Только в этом вопросе не помогает. :-(

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On 18 ноября 2007, Peter Volkov wrote:

> > Эх, весьма неплохо было бы, если бы httpd показывал, что делает... Как sendmail,
> > к примеру. Интересно, нигде патча на эту тему нет ?
> 
> А возможно вставить в cgi скрипт печать всей интересующей отладочной
> информации в файл? 

Для этого данный скрипт ещё надо найти. Это хостинг. Собственно цель не исправить,
а найти и отключить.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On Sunday 18 November 2007, Aleksandr Boltris wrote:

> lsof | grep <PID>
> 
> Покажет список, связанных с пидом файлов
 
Что-то я про это не подумал... Но, в общем, тоже не помогло:

perl       2510   apache  cwd       DIR        8,1       4096         2 /
perl       2510   apache  rtd       DIR        8,1       4096         2 /
perl       2510   apache  txt       REG        8,6       4932    261220 /usr/bin/perl5.8.7
perl       2510   apache  mem       REG        8,1      90045    210576 /lib/ld-2.3.5.so
perl       2510   apache  mem       REG        8,6      13812    718103 /usr/lib/perl5/i386-linux/auto/IO/IO.so
perl       2510   apache  mem       REG        8,6      19048    359062 /usr/lib/perl5/i386-linux/auto/Socket/Socket.so
perl       2510   apache  mem       REG        8,6     934084     97974 /usr/lib/libperl.so.5.8.7
perl       2510   apache  mem       REG        8,1       9504    210510 /lib/libdl-2.3.5.so
perl       2510   apache  mem       REG        8,1     136904    210512 /lib/libm-2.3.5.so
perl       2510   apache  mem       REG        8,1      87647    210518 /lib/libpthread-0.10.so
perl       2510   apache  mem       REG        8,1    1136080    210504 /lib/libc-2.3.5.so
perl       2510   apache  mem       REG        8,1      42692    210508 /lib/libcrypt-2.3.5.so
perl       2510   apache  mem       REG        8,1      34180    210516 /lib/libnss_files-2.3.5.so
perl       2510   apache  mem       REG        8,1      42344    210602 /lib/libnss_nisplus-2.3.5.so
perl       2510   apache  mem       REG        8,1      72592    210514 /lib/libnsl-2.3.5.so
perl       2510   apache  mem       REG        8,1      34232    210600 /lib/libnss_nis-2.3.5.so
perl       2510   apache  mem       REG        8,1      17760    210507 /lib/libnss_dns-2.3.5.so
perl       2510   apache  mem       REG        8,1      63220    210520 /lib/libresolv-2.3.5.so
perl       2510   apache    0r     FIFO        0,4                12268 pipe
perl       2510   apache    1w     FIFO        0,4                12269 pipe
perl       2510   apache    2w     FIFO        0,4                12269 pipe
perl       2510   apache    3u     sock        0,0                12712 can't identify protocol

Хотя, видимо, можно попробовать найти перловые скрипты, которые IO и
Socket используют... Может быть, их будет достаточно не много...

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Konstantin A. Lepikhov]

Hi Sergey!

Sunday 18, at 03:12:01 AM you wrote:

> On 18 ноября 2007, Konstantin A. Lepikhov wrote:
> 
> > > > strace -p <PID>
>  
> > > Это непосредственно, что исполняется... Но это не даёт понимания того, что
> > > именно было запущено и у кого в home битый скрипт искать. :-(
> 
> > /proc/<PID>/cmdline.
> 
> Там только исходный процесс:
> 
> # cat /proc/2510/cmdline
> /usr/bin/web/httpd
> 
> есть ещё симлинк exe на /usr/bin/perl5.8.7.
> 
> > Вообще в /proc/ много интересного о процессах есть :) 
> 
> Да, в общем, знаю... Только в этом вопросе не помогает. :-(
А в /proc/<PID>/environ ничего нету?

PS cgi не из-под пользователя суксь.

-- 
WBR et al.

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On Sunday 18 November 2007, Konstantin A. Lepikhov wrote:

> > Да, в общем, знаю... Только в этом вопросе не помогает. :-(

> А в /proc/<PID>/environ ничего нету?

Только куча 0x00 и 0x20.

> PS cgi не из-под пользователя суксь.

Да вот, честно говоря, я думал, что виртуалхосты от пользователя и работают...
И не очень понимаю потому, что происходит (cитуация ещё осложняется тем, что
я апачем практически не занимался никогда, плюс в отпуск ушёл как раз, а тут
на тебе). Веб-администратор тоже, пока, не знает, что делать, но у него опыта 
работы вообще с linux поменьше. Надо ему как-то помогать, начал вот предмет 
изучать.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On Sunday 18 November 2007, Sergey wrote:

> > PS cgi не из-под пользователя суксь.
> 
> Да вот, честно говоря, я думал, что виртуалхосты от пользователя и работают...

Хм. А они от пользователя и работают. Тогда что же это за perl из-под Апача
висит ?..

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On Sunday 18 November 2007, Sergey wrote:

> Веб-администратор тоже, пока, не знает, что делать, но у него опыта 
> работы вообще с linux поменьше.

В общем, он сам нашёл. Закатали в /tmp скрипт, видимо, через какую-то дырку
или в самом php, или через чей-то дырявый движок, в кронтаб апача задание 
на запуск. А в скрипте - переименование его в /usr/bin/web/httpd. Собственно 
говоря, и httpd-то в /usr/sbin...

Кстати, а noexec на /tmp чем может быть чреват ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[ABATAPA]

{18.11.07} Sergey написал:
> Для этого данный скрипт ещё надо найти. Это хостинг. Собственно цель не
> исправить, а найти и отключить.

Если это "хостинг", то Вам - к OpenVS / etc.

-- 
ABATAPA

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On Tuesday 20 November 2007, ABATAPA wrote:

> > Для этого данный скрипт ещё надо найти. Это хостинг. Собственно цель не
> > исправить, а найти и отключить.
> 
> Если это "хостинг", то Вам - к OpenVS / etc.

На каждый хом пейдж VE не создашь. А vserver и ovz тоже есть.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 651 bytes --]

On Mon, Nov 19, 2007 at 06:47:13PM +0400, Sergey wrote:

S> В общем, он сам нашёл. Закатали в /tmp скрипт, видимо, через какую-то дырку
S> или в самом php, или через чей-то дырявый движок, в кронтаб апача задание 
S> на запуск. А в скрипте - переименование его в /usr/bin/web/httpd. Собственно 
S> говоря, и httpd-то в /usr/sbin...
S> Кстати, а noexec на /tmp чем может быть чреват ?

Ламерский софт вроде mc склеивает ласты.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------
ЗАКОН ПРОФЕССИОНАЛЬНОЙ ПРАКТИКИ ДРЮ
 Кто платит меньше всех, больше всех жалуется.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 597 bytes --]

On Mon, Nov 19, 2007 at 06:47:13PM +0400, Sergey wrote:

>> Веб-администратор тоже, пока, не знает, что делать, но у него опыта 
>> работы вообще с linux поменьше.
S> В общем, он сам нашёл. Закатали в /tmp скрипт, видимо, через какую-то дырку
S> или в самом php, или через чей-то дырявый движок,

basedir рулез.
Но закатать в /tmp скриптик проблем немного. Вот как они его оттуда
запустили -- вопрос.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------
ЗАКОН МЕЙЕРА
 Усложнять - просто, упрощать - сложно.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Michael Shigorin]

On Mon, Nov 19, 2007 at 06:47:13PM +0400, Sergey wrote:
> Кстати, а noexec на /tmp чем может быть чреват ?

Не очень давно развлекался при помощи setfacl -m u:apache:x /tmp;
повылазило (и было развешено, местами исправлено) довольно много
разных занимательных вещей, в частности в умолчаниях mod_security
и mod_php насчёт POST.  Но относительно быстро получилось
выловить, сейчас так и живём.

На simfs нет ACL, можно попробовать групповыми правами, но криво
и получится только для одной группы.

PS: рекомендую также посмотреть пакетик apache-honeypot ;-)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Konstantin A. Lepikhov]

Hi Michael!

Saturday 24, at 06:52:41 PM you wrote:

<skip>
> На simfs нет ACL, можно попробовать групповыми правами, но криво
> и получится только для одной группы.
ойданупрям. Все там есть, просто раздел с /vz надо с acl монтировать.

-- 
WBR et al.

[Sysadmins] simfs и acl

[Michael Shigorin]

On Sun, Nov 25, 2007 at 01:53:10PM +0300, Konstantin A. Lepikhov wrote:
> > На simfs нет ACL, можно попробовать групповыми правами, но
> > криво и получится только для одной группы.
> ойданупрям. Все там есть, просто раздел с /vz надо с acl
> монтировать.

Вау, спасибо!  Ручник был хорош :)

Будет и этот апач без /tmp жить.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On Saturday 24 November 2007, Денис Смирнов wrote:

> Но закатать в /tmp скриптик проблем немного. Вот как они его оттуда
> запустили -- вопрос.

Так я же написал - в crontab юзера apache задание повесили стартовать
раз в минуту.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] [apache] как узнать , какой cgi исполняется ?

[Sergey]

On Saturday 24 November 2007, Денис Смирнов wrote:

> S> Кстати, а noexec на /tmp чем может быть чреват ?
> 
> Ламерский софт вроде mc склеивает ласты.
 
Понятно. Вообще, уже с неделю работает с noexec, вроде бы не вылезло
ничего, что касается непосредственно задач этого сервера.

-- 
С уважением, Сергей
a_s_y@sama.ru