auth.log

Linux-security

Feb 13 04:00:07 marvell su[24797]: Successful su for root by root
Feb 13 04:00:07 marvell su[24797]: + ??? root:root
Feb 13 04:00:07 marvell su[24797]: (pam_unix) session opened for user root by (uid=0)
Feb 13 04:00:07 marvell su[24797]: (pam_unix) session closed for user root

Kerdesem lenne... hogy a fentii bejegyzes mi? Marmint... ez a 


Feb 13 04:00:07 marvell su[24797]: + ??? root:root

sor megzavar... Ez ugy szamomra fura... Mostansag a rendszer furcsa dlgokat tesz ezert kezdtem el nezni a logokat...

mert egy sima su 


Feb 17 11:03:53 marvell su[31027]: Successful su for root by rmed
Feb 17 11:03:53 marvell su[31027]: + pts/0 rmed:root
Feb 17 11:03:53 marvell su[31027]: (pam_unix) session opened for user root by (uid=1001)

igy nez ki...
plusz a session zaras a vegen
de ez egybol nyitotta es zarta
nemtudni miylen terminalrol
root inditotta a root-nak

ebbol egy csomo van egymas utan...
Feb 13 04:00:07 marvell su[24797]: Successful su for root by root
az elso a sorban
Feb 13 04:05:26 marvell su[25943]: (pam_unix) session closed for user root
ez az utolso...
minden masodpercen van 3-4 iylen block...

/* ssh-n keresztul nemlehet, mert sshd-ban root bejelentkezes ki van tiltva... */

es igen... 13-i ez a bejegyzesem is ugyan erre a serverre:
http://hup.hu/node/67176

  • 1580 megtekintés

( taxy | 2009. 03. 24., k – 10:12 )

A crond szokott ilyen bejegyzésket hagyni, de ha minden másodpercben 3-4 ilyen van az tényleg nem normális. Én a crond-t úgy raktam helyre, hogy kivettem belőle a PAM bejelentkezést. Ha érdekel hogyan utánanézhetek, de én is neten találtam ezt a módszert. Praktikus ha az ember átláthatóvá akarja tenni az auth.log-ot.
Az biztos hogy valami olyan alkalmazás lesz aminél a PAM engedélyezve van. Esetleg megpróbálhatsz ezen a vonalon elindulni.