你怎么知道服务器实际上做了什么？

Question

我收到了 3 个 Linux 机器，1 个正面装有 apache，另外 2 个，据我所知，并没有做太多事情。全部在 Redhat 上运行。

问题很简单：我如何知道服务器实际上在做什么？零文档可从创建者处获得。

Answer 1

拔下以太网电缆，看看谁不高兴。

不过说真的，像这样的神秘机器会给团队带来很多精神开销，而且通常绝对没有商业价值。和你的老板谈谈，如果没人知道它在做什么，也许没人关心它做什么。

Answer 2

这是 Serverfault 格式的一个相当广泛的问题，但这是一个好的开始：

• 检查正在运行的进程和计划在系统启动时运行的进程。
  • 查看每个的运行配置。
  • 查看任何定义的数据目录。（也许有人安装了 MySQL 并打开了它，但没有数据库。）
• 检查计划任务。
• 检查日志以查看；
  • 谁最近登录（并询问他们）
  • 并了解正在运行的内容。

你没有提到版本，所以我省略了细节。

Answer 3

您可以采取一些措施来尝试确定系统上正在运行的内容。

您可以检查您的服务器正在侦听哪些端口，以了解那里的内容。一个好的使用命令是：

 [root@server ~]# netstat -tulpn
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             Stat    e       PID/Program name
tcp        0      0 0.0.0.0:139                 0.0.0.0:*                   LIST    EN      1880/smbd
tcp        0      0 0.0.0.0:5666                0.0.0.0:*                   LIST    EN      1911/nrpe
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LIST    EN      1759/sshd

正如您从上面的示例输出中看到的那样，它向您展示了协议版本（tcp 或 udp）、正在侦听的地址、打开的端口和正在侦听的程序。

在上面截断的示例（服务器机器）中，您可以看到 tcp 端口 139、5666 和 22 正在侦听。这些分别解析为 samba、nrpe（Nagios 代理）和 ssh，并在您检查在该端口上侦听的程序时确认。

此外，您可以检查配置为在引导时启动的守护程序列表，为此，请运行： chkconfig --list | grep "3:on"

例子：

[root@server ~]# chkconfig --list | grep "3:on"
NetworkManager  0:off   1:off   2:on    3:on    4:on    5:on    6:off
acpid           0:off   1:off   2:on    3:on    4:on    5:on    6:off
sshd            0:off   1:off   2:on    3:on    4:on    5:on    6:off
sysstat         0:off   1:on    2:on    3:on    4:on    5:on    6:off
udev-post       0:off   1:on    2:on    3:on    4:on    5:on    6:off
vncserver       0:off   1:off   2:on    3:on    4:on    5:on    6:off
webmin          0:off   1:off   2:on    3:on    4:off   5:on    6:off
x2gocleansessions       0:off   1:off   2:on    3:on    4:on    5:on    6:off
.
.
.

或者 ：

service --status-all

Answer 4

另一种方法涉及检查/etc目录并查看修改日期。全新安装后，此目录中的所有文件应具有大致相同的日期/时间。而且由于安装通常会安装很多人们通常不使用的东西，因此只有修改日期较晚的文件才能反映服务器的实际用途。如果这是 ext4，您还应该能够提取目录的出生日期，因此该任务可能非常简单。

另一种方法是检查.bash_history文件以了解管理员在做什么。这个文件可以提供丰富的知识。

Answer 5

检查防火墙规则。幸运的是，它被配置为默认拒绝。这意味着每个允许的服务都有明确的规则。

这会更好，netstat因为它还可以显示打开的端口，例如用于夜间备份。

Answer 6

我还没有看到的一个答案：检查最近修改的文件。日志、数据库文件、其他输出文件等可能会被写入仍然可以提供线索：

find . -mtime -3 

这将在当前目录中找到修改过的文件，并且在过去 3 天内更改过更深的文件。将数字 3 增加到有根据的猜测，直到获得一些可以调查的输出。

并非万无一失，因为这些盒子可能只是处理一些 Web 服务调用，返回一些数据而无需写入任何内容。但加上上面提到的伟大组合，它可能只会产生一些线索。