auth.log verwirrend

Knuddeltuete · Beitrag von **Knuddeltuete** » 01.02.2006 13:34:50

Hallo,

ich habe mal heute die auth Log geöffnet und finde die ganze Zeit:

Jan 29 05:23:45 vs7704 CRON[22064]: (pam_unix) session closed for user root
Jan 29 05:38:01 vs7704 CRON[27094]: (pam_unix) session opened for user mail by (uid=0)

etwas weiter unten steht das von

Jan 31 01:34:44 vs7704 proftpd[27213]: ******.vserver4free.de (cjv77.neoplus.adsl.tpnet.pl[83.31.71.77]) - USER anonymous: no such user found from cjv77.neoplus.adsl.tpnet.pl [83.31.71.77] to 84.16.237.50:21
Jan 31 10:42:12 vs7704 proftpd[5334]: *****.vserver4free.de (59.150.14.54[59.150.14.54]) - USER newuser: no such user found from 59.150.14.54 [59.150.14.54] to 84.16.237.50:21

Weiss jemand Rat?

Gruß
Knuddeltuete

nil · Beitrag von **nil** » 01.02.2006 14:25:34

Jan 31 01:34:44 vs7704 proftpd[27213]: ******.vserver4free.de (cjv77.neoplus.adsl.tpnet.pl[83.31.71.77]) - USER anonymous: no such user found from cjv77.neoplus.adsl.tpnet.pl [83.31.71.77] to 84.16.237.50:21
Jan 31 10:42:12 vs7704 proftpd[5334]: *****.vserver4free.de (59.150.14.54[59.150.14.54]) - USER newuser: no such user found from 59.150.14.54 [59.150.14.54] to 84.16.237.50:21

Da versucht jemand FTP mit dem User anonymous und newuser zu machen. Generell würde ich FTP unterbinden (incl. inetd) und auf SSH/SCP oder WebDAV (incl. HTTPS) umsteigen.

Zu newuser fällt mir noch was ein:

Code: Alles auswählen

telnet arbornet.org    (Benutzername newuser)
ssh newuser@arbornet.org

Knuddeltuete · Beitrag von **Knuddeltuete** » 01.02.2006 16:54:47

okay danke,
ich habe den Dienst deinstalliert, soll er bleiben wo der Pfeffer wächst

modchen · Beitrag von **modchen** » 02.02.2006 20:25:52

das mit cron habe ich auch, gibts da keine möglichkeit das irgendwie zu filteren, dass das nicht in die log reinkommt ? hab da irgendetwas mit /etc/logcheck bei google gefunden, klappt aber irgendwie nicht

nepos · Beitrag von **nepos** » 02.02.2006 23:15:38

Hm, mit dem normalen syslogd nicht. Mit syslog-ng koenntest du dir ne Regel bauen, die diese Meldungen verwirft. Aber was stoert dich denn daran ueberhaupt?
Logcheck ist meines Wissens auch nur ein Tool, das Logfiles nach bestimmten Auffaelligkeiten untersucht.

modchen · Beitrag von **modchen** » 03.02.2006 16:12:06

eigentlich stört es mich nicht viel, dank grep, jedoch wenn man sich einfach so die log ankuckt, finde ich schon dass sie stören, weil sie über 70 der log ausmachen

wozu ist eigentlich der cronjob gut ?

ps: hier ist das was ich mit logcheck meinte,hab aber erst jetzt bemerkt dass logcheck nicht für die logfiles selbst zuständig ist

http://lists.debian.org/debian-security ... 00110.html

nepos · Beitrag von **nepos** » 04.02.2006 13:05:35

Ich glaub, das war der Cronjob fuer den Exim, der alle 10 Minuten oder sowas seine Mailqueue leeren will.