Suche Cron-Job (Anfänger Frage)

[zdev]

Hallo,

ich bekomme jeden Montag um 2 Uhr einen Eintrag im Log, der so aussieht:

[ Rootkit Hunter version 1.3.4 ]

Checking rkhunter data files...
Checking file mirrors.dat [ No update ]
Checking file programs_bad.dat [ No update ]
Checking file backdoorports.dat [ No update ]
Checking file suspscan.dat [ No update ]
Checking file i18n/cn [ No update ]
Checking file i18n/de [ No update ]
Checking file i18n/en [ No update ]
Checking file i18n/zh [ No update ]
Checking file i18n/zh.utf8 [ No update ]
Invalid option specified: --report-mode

Nun suche ich den Cron-Job, der das ausführt um ihn ggf. zu patchen. Ich finde aber keinen, der Montags um 2 Uhr ausgeführt wird. Anhängend die Übersicht der Jobs in Plesk.

[attachment=0:1ggc3v2h]ScreenHunter_01 Aug. 18 10.24.gif[/attachment:1ggc3v2h]

Lese ich da etwas falsch? Woher kommt der Log???

TIA, Detlef

[Nerion]

Das kannst du unter Plesk unter Module und dann Watchdog abschalten. Dort gibt es diesen Security Check. Diesen einfach entsprechend anders konfigurieren.

[zdev]

Ja, Danke, das kannte ich schon. Wenn ich dort den Security-Check starte, läuft der ohne Fehler durch. Das passiert wie gesagt nur ein Mal pro Woche, Montags um 2 Uhr. Und ich habe keine Ahnung, wo das gestartet wird.

Gruß Detlef

[harv]

dann schau doch mal etwas über die meldung im log da sollte etwas stehen wie

Aug 19 00:05:01 delta /usr/sbin/cron[15171]: (mailman) CMD (/usr/bin/python -S /usr/lib/mailman/cron/gate_news)

eventuell auch mal ein

cat /var/log/messages|grep cron

probieren

[zdev]

Ja, das ist richtig. Um 2 Uhr gibt es einen Eintrag
"/usr/sbin/cron[12237]: (mailman) CMD (/usr/bin/python -S /usr/lib/mailman/cron/gate_news)"

Aber der ist alle 5 Minuten vorhanden. Das kann es also nicht sein.

Der "cat /var/log/messages|grep cron" bringt eine Million Einträge, ich habe das mal in eine Datei ausgeben lassen. Aber auch da ist von Montag 2 Uhr nichts, was ich nicht schon kenne. Eigentlich nur Logrotate und Log-Bereinigungen.

Ich weiß nicht genau, ob das richtig ist, aber sollte
find / |grep report-mode
nicht den Eintrag finden, den ich suche?

Ich hoffe, die Experten haben noch eine Idee ... Gruß Detlef

[harv]

"/usr/sbin/cron[12237]: (mailman) CMD (/usr/bin/python -S /usr/lib/mailman/cron/gate_news)"

Das war ein Beispiel, dein Eintrag müsste natürlich anders lauten und sollte zwischen 1 und 2 Uhr liegen

find / |grep report-mode

bringt dir so glaub ich nicht das was du dir erhoffst....


eigendlich müsste es wie in viewtopic.php?f=15&t=1584&start=0 (Doppelpost ?) schon mal gesagt der /usr/local/psa/libexec/modules/watchdog/cp/secur-check sein der wird um 1 Uhr am Montag ausgeführt von der zeit und Tag könnte das passen (der braucht ja ein paar min...)

du könntest auch testweise jeden einzelnen Auftrag einmal manuell ausführen und wenn die Ausgabe entsprechend passt hast du den übeltäter

[zdev]

Ja, da wird mir klar, wie wenig Praxis ich habe...

Ich habe jetzt doch mal den WatchDog neu installiert. Und - wegen mangelnder Übung - habe ich meine Config vorher nicht gesichert. So lernt man.

ABER: wenn ich den secur-check manuell ausführe, passiert gar nix. Ich gebe den Befehl im Putty ein und eine Sekunde später ist der Prompt wieder da. Läuft das Ding im Hintergrund??? Aber auch nach einer halben Stunde bekomme ich keinen Log. Und wenn ich den unter Module / Sicherheit starte, läuft der durch - ohne Meldung.

Allerdings bekomme ich nach der Neuinstallation eine Mail mit dem hoch infomativen Inhalt "Please inspect this machine, because it may be infected." Ich hoffe das ist weg, wenn ich die Config wieder überarbeitet habe.

Irgendwie verunsichert mich das ganze Teil .... Detlef

[harv]

wenn ich den secur-check manuell ausführe, passiert gar nix. Ich gebe den Befehl im Putty ein und eine Sekunde später ist der Prompt wieder da. Läuft das Ding im Hintergrund???

das ist merkwürdig habe das verhalten gerade mal bei mir getestet bei mir geschieht da komischerweise auch nichst

Allerdings bekomme ich nach der Neuinstallation eine Mail mit dem hoch infomativen Inhalt "Please inspect this machine, because it may be infected." Ich hoffe das ist weg, wenn ich die Config wieder überarbeitet habe.

Irgendwie verunsichert mich das ganze Teil .... Detlef

deshalb ist der bei mir auch rausgeflogen ich habe bei einer neuen maschiene auch ständig diese Meldung bekommen nach der analyse der Logfiles ist dann jedes mal rausgekommen das er etwas ganz normales als Problem entdeckt hat. Am besten du schaust dir mal webmin an, der hat auch monitor funktionen dabei und die laufen definitiv zuverlässiger als die von Plesk.

[zdev]

Zunächst mal bin ich ganz froh, daß der ganze Quatsch doch nicht an mir liegt ... <g>

Dieser Plesk hat doch ne Menge Macken, etwas unverständlich bei dieser Verbreitung. Wenn ich den rkHunter in Plesk starte, schließt der ab mit der Meldung, daß "erhebliche, potentielle Fehler" im System seien und der Log schließt anschließend mit dem Satz "Es wurden keine Fehler oder Warnungen gefunden". Sehr traurig ...

WebMin habe ich installiert, benutze ich lediglich zur Anpassung der Rechte. Hab den enormen Umfang schon gesehen ... dachte es geht einfacher. Gibt es eigentlich von Plesk gar keinen Support? Auch nicht bei Bugs?

Vielen, vielen Dank für die professionelle Hilfe!!

[harv]

Naja Support kannst du bekommen, entweder im Englishen Parallels Forum oder bei dem der dir die Plesklizenz verkauft hat die haben meist einen Supportvertrag mit Parallels dofür erhalten sie die Lizenzen günstiger

Der Threat ist auch nicht ohne Grund von uns da, ich sage nur wir sind die Betatester (so scheint es zumindest)

WebMin habe ich installiert, benutze ich lediglich zur Anpassung der Rechte. Hab den enormen Umfang schon gesehen ... dachte es geht einfacher.

Glaube mir wenn du dich dran gewöhnt hast ist das meiste einfacher, Plesk nutze ich persönlich nur um meine Kunden zu verwalten und Ihnen eine für Enduser geeignete Operfläche zur verwaltung zu geben. Den rest mache ich über Webmin und die Console.