Всем добрый день! По непредусмотрительности мы с коллегами оставили фрагмент сети незащищенным на ночь, вот и поплатились...утром оказалось, что не пашут dhcp, squid и почта. Ну, с первыми двумя я вроде как разобрался, но вот с почтой творится что-то не то и очень нужна помощь...иначе в самое ближайшее время мне будет очень грустно.
В общем, MTA - sendmail, POP3-сервер тоже какой-то стандартный, но вот как называется точно сказать не могу, не сам все эту дрянь ставил. Но в процессах висит popper, возможно это он.

Раньше все было следующим образом - каждый новый пользователь системы (ОС Linux RH 7.2) автоматически  получал почтовый аккаунт в системе. Почта приходил в /var/spool/mail (ну или просто var/mail), где лежали файлы, одноименные с файлами пользователей системы. А когда юзер скачивал почту себе на комп почтовой программой в этой директории временно появлялся файлик ".имя юзера".pop. Ну вот, собственно и все, что было...более подробно я не вдавался - работает - и хорошо.

После того, как система была подвергнута стороннему воздействию, Бат начал при получении почты всем юзерам выдавать сообщение вида:


А при попытке почту отправить:


Очень прошу - выручайте...хотя бы куда копать!!!  Начальство скоро совсем озвереет, а жить хочется!!

Для начала убедитесь что дырка через которую проникли закрыта, и не осталось вредного ПО на сервере. По сути проблемы - демон не может создать файл в директории /var/mail. Убедитесь что эта директория существует, убедитесь что у нее есть права записи пользователя, под которым запущен демон. По поводу отправки почты - дайте больший кусок лога.

Дырка закрыта, свитчи переключили обратно.
Демон sendmail запущен от имени root, директория /var/mail имеет владельцем root, группу mail. Каждый файл в папке имеет владельцем соответствующего юзера, а группу - mail.

Получается, что вроде как писать root туда может.

Однако, вот пробую это сделать



То есть - он пишет, что нет места на винче.

Хотя по команде df место есть (оно там действительно раньше-то было!):


Вот такая бадяга...
А вот кусок лога, я внимательно просмотрел - там тоже в основном глюк с местом, и только в нескольких местах трабл как у меня с uid и gid. 


Только вот неясно, что случилось с местом и что делать.
Возможно в системе что-то и осталось...можно ли это как-то выяснить? В голову приходят только антивирусы, но я их под  линукс ни разу не ставил...не успел, все лицензию от начальства ждал. Дождался...

Видно, что и то и другое, вылетает изза одной и той же ошибки. Дайте вывод команды mount.

Вот, пожалуйста:

Проверьте фс на ошибки. (команда fsck). Может быть, это принесет какие-либо результаты.

Проверил. Выдаю лог команды:



Потом перезагрузил сервак, но вот опять же в /var писать по той же причине не хочет.
Однако, что-то явно исправилось))

после проверки.

Да, в общем-то все то же:

Перепроверьте /dev/sda5 в отмонтированном состоянии.

зайдите в /var и напишите:

результат сюда.

файл /var/xxxx можно будет стереть, если получилось его создать.

bilbobagginz, вот, что получилось (файл не создается):


ZeeLax, сейчас отмонтировать не получается, т.к. пишет, что device is busy. Чтобы отмонтировать - нужно убить всех демонов, работающих с данным разделом? Или еще что-нибудь?

вопрос: это ваш физический сервер, или это какой-то виртуальный сервер ?
( через Xen/vmware )



вы должны сообщить пользователям об отказе сервиса на час-другой.
лучше конечно запустить пока вспомогательный сервант, но я так понимаю его нет... иначе не потели бы у вас уши.

насчет /var

что-то неладно там.


нужно убить всех пользователей /var ( а в этом числе - syslog и т.д. )
т.е. оптимальнее было бы перезагрузиться в режим single 

после этого проверьте несмонтированный раздел, который монируется на /var

потом наберите 

и посмотрите что получилось.
после этого думаю всё прояснится.
нужно посмотреть что именно занимает больше всего места:


И рассказать нам.



удачи.

bilbobagginz, это обычный физический SOHO-сервер, резервного нет.

Завтра обязательно напишу результат проверки. Все-таки хорошо, что  сегодня воскресенье)). Я из дома как раз зашел в однопользовательский режим...по ssh...теперь придется завтра рано утром ехать на работу...)))

Ну ничего, любая глупость ведет к опыту   

Очень забавно, но проблему мы все-таки решили)))
В общем, знакомые инженеры где-то нашли команду df -i , которая говорит о свободном месте с точки зрения индексных дескрипторов. В результате этой команды:



Оказалось, что sendmail уже долгое время складывал в папку /var/spool/mqueue какие-то файлы с непонятными именами, которые не учитываются командой df . Файлов этих сотни тысяч...как только процентов пять на /var таким образом расчистили, то сразу почта начала работать!!!

Теперь буду учиться писать скрипты и бороться с Cron, чтобы логами и всякой статистикой винт не захламляло!!

Всем - огромное спасибо за участие!!! Было очень приятно пообщаться с профессионалами!