1999年06月18日サーバ管理者日誌サーバ管理とそれ以外の日常を綴ります。メールはkei@nantoka.comまで。Tweetサーバーのディスクが壊れました。非常に運が良いパターンで「変な音がするなぁ」という前兆があり、「さすがに弱いマシンだから(Cylixの166M)移設しよう」と決意して、新しいマシンにミラーリングを済ませ、設定を変更して再起動した直後の出来事でした。ミラーしたサーバの起動と設定を確認しただけで、問題解決。長いことがんばってくれた上に、これ以上はないという美しい引き際を見せてくれたサーバーさんに感謝しました。実際のところ、危険な状態でかろうじて動いていたところに、ミラーリングで全領域を読みとって負荷を掛け、さらに電源断を経験させたので一気に問題が発生したというシナリオであると思われます。ある程度のバックアップは取ってありますが、ローテーションの中から順番に差分を当てていくのもそれなりにうんざりする作業なので、本当に助かりました。久しぶりにカーネルパニックを経験したんで、ちょっとだけクラッシュダンプを解析してみることにしました。クラッシュダンプとは、UNIXマシンが落ちる(こと自体まれですが)時に、それなりの設定がしてあって、少々運が良ければ手に入る検死資料です。これを入手するためには、それなりの前準備が必要です。いう準備をしてなくてクラッシュした場合は、現場に残されたごくわずかな痕跡(ファンに埃がたまっていたとか)と(もしいれば)目撃者から死因を推定することしかできません。今回の場合、もはやこのディスクでブートすることをあきらめないといけませんから、coreの保存に一工夫必要です。他のマシンに持っていって、同じカーネルを用意して、savecoreを手作業で掛けてやることになります。入手したcoreダンプから何が分かるかといえば、ものすごく奥が深いウィザードの森の住人たちは全てが分かるようです。読んでいただくと良いかと思いますが、ある程度の知識があれば、なんたらいうOSとは違って、「何が起きたのか」程度は確実に知ることができます(もちろん直す事もできます!)。そこまで行かなくとも、stringsを使って、表示し切れなかったpanicメッセージを読むだけでも、大体の原因をつかむことができるでしょう。Tweetまずswapのサイズが物理メモリよりある程度(64KBytes)大きい必要があります。最近では以前の様に物理メモリの倍等というswapを取らないケースも多いですが、クラッシュダンプを取りたい場合は、ある程度のswapを確保しておく必要があります。ダンプ先をswapに用いるファイルシステム以外に設定することはお勧めできません。次に、そのデバイス名を/etc/rc.confのdumpdevに指定します。[デバイス名]を実行します。標準のスワップ先以外のファイルシステムを指定した場合には、うまく行かないかも知れません。/var/crashというディレクトリがあり、クラッシュダンプを格納するのに十分な容量が必要です。以上の条件が整っていれば、カーネルがクラッシュした時に、ディスクを低レベルにアクセスするだけの余力が残っていれば(大抵は残っているので)、全メモリイメージをdumponで指定したデバイスに書き出します。次回起動時に、savecoreが/var/crashにコアダンプを保存してくれるという仕掛けです。Tweet8.4GB以上のIDEドライブを繋いでいる場合、FreeBSDのバージョンによっては、間違った位置にカーネルダンプが書きこまれてえらい目に会う・・・といった問題があったように思います。ポインタ載せようと思ったのですが見つけ出せませんでした。8.4GB以上のIDEディスクを繋いでる人は注意。2.2.8は多分大丈夫。3.0Rは確か被害者が出てた。Tweet今回は二本立てでお送りします。いう問題が指摘されています。NT+IIS4.0が導入されていて一般に公開されているWebサーバーであれば、侵入者が任意のプログラムを送りこんで実行させることができるというとてつもない問題です。侵入には、httpを使いますので、ほとんどのファイヤウォールを透過的に通過してしまうわけで、これを何とかしようと思ったらアプリケーションレベルのプロクシーを動作させて、危ないURLの書き換えをやらせる必要があります。Apacheにmod_rewriteでも仕込んで、送られてくるURLをチェックした上で変換してNTのIISに渡してやるような仕掛けになります。ここまでやるんだったらWebサーバーごとApacheに引っ越す方が頭の良いやり方に思えます。上記のプログラム(iishack)はソースコードも公開されていますので、この週末あたりからスキャンを含めたアタックが活発化するものと思われます。実際、弊社が管理しているサーバでも、エージェントが怪しいHEADのスキャンを見つけました。NT+IISをアドレス空間全検索で探している様に思われます。いう攻撃を仕掛けてくるか、IISを名乗ってみようか知らん。NT+IISを導入しているサイトでは、ここしばらくは運用を停止するか十分な監視をしないといけないでしょうね。TwitterName:前田勝之Location:長崎市Web:http://www.nantok...Bio:前田勝之(まえだかつゆき)。(情報セキュリティ)。セキュアド、テクニカルエンジニア(SV,NW)。サーバ管理とWeb日記を10年ほど。ネットとリアルの接点に関心あり。食べること・歌うこと・愛すること・作ること・飲むこと。おいしいものがぜんぶすき。reserved.サイトポリシ。