Sometimes inetd makes CPU load 100% here

kite · 02-04-2006, 04:22 AM

Sometimes, it seems that inetd makes CPU crazy with 100% load, and if I run lftp or gftp, CPU always starts to fly with 100% load. top shows that inetd is on the top. If I restart ineted by /etc/rc.d/rc.ineted restart, the CPU becomes fine. What could be the problem?

My system: Slackware 10.2 with FRG gnome 2.12.2; IBM X31 laptop.

Thanks,

Kite

katayamma · 02-04-2006, 06:45 AM

Can you post a full process list for when this happens?

kite · 02-04-2006, 08:17 AM

I use lftp and the CPU became 100& in load, and then I use ps aux which showed following:

PHP Code:


			
USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND

root         1  0.0  0.0    684   228 ?        S    Feb03   0:00 init [4]  

root         2  0.0  0.0      0     0 ?        SN   Feb03   0:00 [ksoftirqd/0]

root         3  0.0  0.0      0     0 ?        S<   Feb03   0:00 [events/0]

root         4  0.0  0.0      0     0 ?        S<   Feb03   0:00 [khelper]

root         5  0.0  0.0      0     0 ?        S<   Feb03   0:00 [kthread]

root         7  0.0  0.0      0     0 ?        S<   Feb03   0:00 [kblockd/0]

root         8  0.0  0.0      0     0 ?        S<   Feb03   0:00 [kacpid]

root        91  0.0  0.0      0     0 ?        S<   Feb03   0:00 [khubd]

root       134  0.0  0.0      0     0 ?        S    Feb03   0:00 [pdflush]

root       135  0.0  0.0      0     0 ?        S    Feb03   0:00 [pdflush]

root       137  0.0  0.0      0     0 ?        S<   Feb03   0:00 [aio/0]

root       136  0.0  0.0      0     0 ?        S    Feb03   0:01 [kswapd0]

root       738  0.0  0.0      0     0 ?        S<   Feb03   0:00 [kseriod]

root       779  0.0  0.0      0     0 ?        S<   Feb03   0:00 [reiserfs/0]

root       828  0.0  0.0   1492   440 ?        S<s  Feb03   0:01 udevd

root      1934  0.0  0.0      0     0 ?        S<   Feb03   0:03 [ipw2200/0]

root      2436  0.0  0.0   1608   348 ?        Ss   Feb03   0:00 /usr/sbin/klogd -c 3 -x

root      2571  0.0  0.0      0     0 ?        S    Feb03   0:00 [pccardd]

root      2582  0.0  0.0      0     0 ?        S    Feb03   0:00 [pccardd]

root      2615  0.0  0.0   1500   412 ?        Ss   Feb03   0:00 /sbin/cardmgr

root      2924  0.0  0.0      0     0 ?        S    Feb03   0:00 [khpsbpkt]

root      2948  0.0  0.0      0     0 ?        S    Feb03   0:00 [knodemgrd_0]

bin       6513  0.0  0.0   1688   496 ?        Ss   Feb03   0:00 /sbin/rpc.portmap

root      6525  0.0  0.1  20716   916 ?        Ssl  Feb03   0:00 ./hpiod

root      6529  0.0  0.7   9028  3760 ?        S    Feb03   0:00 python ./hpssd.py

root      6540  0.0  0.4   6080  2164 ?        Ss   Feb03   0:00 /usr/sbin/cupsd

root      6556  0.0  0.1   1676   564 ?        S    Feb03   0:00 /usr/sbin/crond -l10

daemon    6558  0.0  0.0   1808   316 ?        Ss   Feb03   0:00 /usr/sbin/atd -b 15 -l 1

1001      6635  0.0  0.1   2060   720 ?        Ss   Feb03   0:00 /usr/bin/dbus-daemon --system

1002      6642  0.0  0.4   4804  2092 ?        Ss   Feb03   0:02 /usr/sbin/hald --daemon=yes

root      6665  0.0  0.1  11340   644 ?        Ssl  Feb03   0:00 /usr/bin/mDNSResponder

root      6668  0.0  0.1   2720   548 ?        Ss   Feb03   0:00 /usr/bin/nifd

root      6690  0.0  0.0   1484   372 tty6     Ss+  Feb03   0:00 /sbin/agetty 38400 tty6 linux

root      6762  0.0  0.0   1948   328 ?        Ss   Feb03   0:00 dbus-daemon --fork --print-pid 8 --print-address 6 --session

root     15135  0.0  0.1   1608   588 ?        Ss   13:33   0:00 /usr/sbin/acpid

root      4596  0.0  0.1   1520   524 ?        Rs   18:16   0:07 /usr/sbin/inetd

kite      4871  0.0  0.0   1948   396 ?        Ss   19:19   0:00 dbus-daemon --fork --print-pid 8 --print-address 6 --session

kite      4892  0.0  0.0   1944   396 ?        Ss   19:19   0:00 dbus-daemon --fork --print-pid 8 --print-address 6 --session

kite      5253  0.0  0.1   2064   840 ?        Ss   19:20   0:00 dbus-daemon --fork --print-pid 8 --print-address 6 --session

root      7695  0.0  0.4  10832  2448 ?        Ss   20:20   0:00 /usr/sbin/gdm-binary -nodaemon

root      7729  0.0  0.0   2380   368 ?        S    20:20   0:00 dbus-launch --sh-syntax --exit-with-session

root      7730  0.0  0.0   1948   396 ?        Ss   20:20   0:00 dbus-daemon --fork --print-pid 8 --print-address 6 --session

root      7734  0.0  0.4  10916  2272 ?        S    20:20   0:00 /usr/sbin/gdm-binary -nodaemon

root      7755  1.6 10.4  56884 53576 ?        S    20:20   1:51 /usr/X11R6/bin/X :0 -audit 0 -auth /var/lib/gdm/:0.Xauth -nolisten tcp vt7

kite      7804  0.0  2.0  31836 10464 ?        Ss   20:21   0:00 gnome-session

kite      7828  0.0  0.0   1944   396 ?        Ss   20:21   0:00 dbus-daemon --fork --print-pid 8 --print-address 6 --session

kite      7829  0.0  0.1   2516   636 ?        S    20:21   0:00 dbus-launch --sh-syntax --exit-with-session

kite      7849  0.0  0.1   2064   840 ?        Ss   20:21   0:00 dbus-daemon --fork --print-pid 8 --print-address 6 --session

kite      7850  0.0  0.1   2516   636 ?        S    20:21   0:00 dbus-launch --exit-with-session gnome-session

kite      7852  0.0  2.1  13624 11200 ?        S    20:21   0:01 /usr/libexec/gconfd-2 5

kite      7855  0.0  0.1   2252   772 ?        S    20:21   0:00 /usr/bin/gnome-keyring-daemon

kite      7857  0.0  0.2   2684  1224 ?        Ss   20:21   0:00 /usr/bin/esd -terminate -nobeeps -as 2 -spawnfd 16

kite      7861  0.0  0.6   6620  3248 ?        Ss   20:21   0:00 /usr/libexec/bonobo-activation-server --ac-activate --ior-output-fd=18

kite      7863  0.0  1.8  30928  9548 ?        Sl   20:21   0:03 /usr/libexec/gnome-settings-daemon --oaf-activate-iid=OAFIID:GNOME_SettingsDaemon --oaf-ior-fd=25

kite      7878  0.1  1.9  25760  9944 ?        Rs   20:21   0:07 metacity --sm-client-id=default0

kite      7881  0.0  3.4  46636 17652 ?        Ssl  20:21   0:02 gnome-panel --sm-client-id default1

kite      7883  0.1  4.7  66980 24676 ?        Ssl  20:21   0:06 nautilus --no-default-window --sm-client-id default2

kite      7885  0.0  1.3  19368  7144 ?        Ss   20:21   0:00 gnome-volume-manager --sm-client-id default4

kite      7887  0.0  0.2   3832  1488 ?        Ss   20:21   0:00 /bin/sh skype

kite      7888  1.0  3.9  50608 20156 ?        Sl   20:21   1:11 /opt/skype-1.0.0.7/skype --resources-path /opt/skype-1.0.0.7/

kite      7890  0.0  3.5  52204 18076 ?        Ss   20:21   0:03 gaim

kite      7899  0.0  0.8  10836  4284 ?        Sl   20:21   0:00 /usr/libexec/gnome-vfs-daemon --oaf-activate-iid=OAFIID:GNOME_VFS_Daemon_Factory --oaf-ior-fd=31

kite      7901  0.0  1.0  20716  5540 ?        Ss   20:21   0:00 seahorse-agent

kite      7910  0.1  2.6  44116 13896 ?        S    20:21   0:09 /usr/libexec/wnck-applet --oaf-activate-iid=OAFIID:GNOME_Wncklet_Factory --oaf-ior-fd=33

kite      7913  0.0  1.6  20268  8460 ?        S    20:21   0:00 /usr/libexec/notification-area-applet --oaf-activate-iid=OAFIID:GNOME_NotificationAreaApplet_Factory --oaf-ior-fd=35

kite      7919  0.0  0.1   2204   788 ?        S    20:21   0:00 /usr/libexec/mapping-daemon

kite      7926  0.0  1.7  20176  8824 ?        S    20:21   0:00 /usr/libexec/battstat-applet-2 --oaf-activate-iid=OAFIID:GNOME_BattstatApplet_Factory --oaf-ior-fd=37

kite      7928  0.0  1.9  30616  9828 ?        S    20:21   0:00 /usr/libexec/multiload-applet-2 --oaf-activate-iid=OAFIID:GNOME_MultiLoadApplet_Factory --oaf-ior-fd=38

kite      7930  0.0  1.9  21132 10188 ?        S    20:21   0:00 /usr/libexec/cpufreq-applet --oaf-activate-iid=OAFIID:GNOME_CPUFreqApplet_Factory --oaf-ior-fd=40

kite      7932  0.0  2.2  42232 11532 ?        Sl   20:21   0:00 /usr/libexec/gweather-applet-2 --oaf-activate-iid=OAFIID:GNOME_GWeatherApplet_Factory --oaf-ior-fd=41

kite      7933  0.0  1.7  24244  9268 ?        Ss   20:21   0:00 /usr/lib/scim-1.0/scim-launcher -d -c simple -e all -f socket --no-stay

kite      7936  0.0  1.7  30524  9056 ?        S    20:21   0:00 /usr/libexec/gnome-netstatus-applet --oaf-activate-iid=OAFIID:GNOME_NetstatusApplet_Factory --oaf-ior-fd=43

kite      7938  0.0  2.1  34396 11084 ?        S    20:21   0:00 /usr/libexec/clock-applet --oaf-activate-iid=OAFIID:GNOME_ClockApplet_Factory --oaf-ior-fd=45

kite      7940  0.0  2.3  43700 11908 ?        S    20:21   0:00 /usr/libexec/mixer_applet2 --oaf-activate-iid=OAFIID:GNOME_MixerApplet_Factory --oaf-ior-fd=47

kite      7963  0.0  0.2   4992  1060 ?        Ss   20:21   0:00 /usr/lib/scim-1.0/scim-helper-manager

kite      7964  0.0  1.4  33308  7248 ?        Ssl  20:21   0:01 /usr/lib/scim-1.0/scim-panel-gtk --display :0.0 -c socket -d --no-stay

kite      7966  0.0  0.4  11900  2416 ?        Ss   20:21   0:02 /usr/lib/scim-1.0/scim-launcher -d -c socket -e socket -f x11

kite      7986  0.0  0.3   3776  2012 ?        S    20:21   0:01 xscreensaver -nosplash

kite      7991  0.0  1.3  59216  7116 ?        Sl   20:21   0:00 /usr/libexec/evolution-data-server-1.4 --oaf-activate-iid=OAFIID:GNOME_Evolution_DataServer_InterfaceCheck --oaf-ior-fd=40

kite      7997  0.0  1.8  67112  9664 ?        Sl   20:21   0:00 /usr/libexec/evolution/2.4/evolution-alarm-notify --oaf-activate-iid=OAFIID:GNOME_Evolution_Calendar_AlarmNotify_Factory:2.4 --oaf-ior-fd=44

kite      8019  0.0  0.3   3856  1588 ?        S    20:21   0:00 /bin/sh /usr/bin/firefox

kite      8030  0.0  0.3   3896  1612 ?        S    20:21   0:00 /bin/sh /opt/firefox/run-mozilla.sh /opt/firefox/firefox-bin

kite      8035  1.4 11.8 156560 61240 ?        Sl   20:21   1:35 /opt/firefox/firefox-bin

kite      8118  0.2  3.8  67444 19900 ?        Sl   20:48   0:15 gnome-terminal

kite      8119  0.0  0.1   2204   684 ?        S    20:48   0:00 gnome-pty-helper

kite     10009  0.0  0.3   4184  1900 pts/2    Ss   21:47   0:00 bash

kite     10342  0.0  0.4   5984  2516 pts/2    S+   22:11   0:00 lftp china-aquarium.com

kite     26255  0.0  0.3   4184  1900 pts/0    Ss   22:12   0:00 bash

root      6981  0.0  0.0   1636   308 ?        R    22:13   0:00 /usr/sbin/inetd

kite      6982  0.0  0.2   2808  1032 pts/0    R+   22:13   0:00 ps aux

katayamma · 02-05-2006, 12:37 PM

Hmm... I don't see anything suspicious on first glance. What services do you have active in inetd? Can you copy the active lines so I can see the config.

Lastly, are you seeing any error messages showing up in the dmesg kernel ring or in any of the syslog files?

My initial thought was someone was trying to either do a service DOS on you to spawn processes until your machine died, or they might be trying to brute-force hack an open service. Are you behind a firewall, or open to the world? If you're open, are you running any firewall software?

A quicker way to work this out would be to give me a hollar via IM (Y!: katayamma, ICQ: 9450658) and we can discuss your setup in detal.

katayamma · 02-05-2006, 12:41 PM

Quote:

Originally Posted by kite

PHP Code:


			
USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND

1001      6635  0.0  0.1   2060   720 ?        Ss   Feb03   0:00 /usr/bin/dbus-daemon --system

1002      6642  0.0  0.4   4804  2092 ?        Ss   Feb03   0:02 /usr/sbin/hald

Also, any idea why those two processes have invalid UIDs?

mdarby · 02-05-2006, 12:57 PM

I've had a problem like this before. The cause was a bad command in /etc/rc.d/rc.inetd, which caused constant logging to /var/log/syslog, and eating cycles like crazy.

Could you post your rc.inetd?

kite · 02-07-2006, 04:12 AM

Thanks for valuable comments. I do not think that some one is attacking me because this is only a slackware 10.2 for desktop use and I have a dynamic IP assigned by my ISP.

Mdarby might be right because days ago I found that /var/log/syslog file was 2G in size. I deleted it then. Today I checked again to find that the size of syslog is 54MB. Sounds strange.

As following please find the content of /etc/inetd.conf:

PHP Code:


			
# See "man 8 inetd" for more information.

#

# If you make changes to this file, either reboot your machine or send the

# inetd a HUP signal:

# Do a "ps x" as root and look up the pid of inetd. Then do a

# "kill -HUP <pid of inetd>".

# The inetd will re-read this file whenever it gets that signal.

#

# <service_name> <sock_type> <proto> <flags> <user> <server_path> <args>

#

# The first 4 services are really only used for debugging purposes, so

# we comment them out since they can otherwise be used for some nasty

# denial-of-service attacks.  If you need them, uncomment them.

# echo       stream    tcp    nowait    root    internal

# echo       dgram    udp    wait    root    internal

# discard    stream    tcp    nowait    root    internal

# discard    dgram    udp    wait    root    internal

# daytime    stream    tcp    nowait    root    internal

# daytime    dgram    udp    wait    root    internal

# chargen    stream    tcp    nowait    root    internal

# chargen    dgram    udp    wait    root    internal

time        stream    tcp    nowait    root    internal

time        dgram    udp    wait    root    internal

#

# These are standard services:

#

# Very Secure File Transfer Protocol (FTP) server.

#ftp     stream  tcp     nowait  root    /usr/sbin/tcpd  vsftpd

#

# Professional File Transfer Protocol (FTP) server.

#ftp     stream  tcp     nowait  root    /usr/sbin/tcpd  proftpd

#

# Telnet server:

#telnet    stream  tcp     nowait  root    /usr/sbin/tcpd    in.telnetd

#

# The comsat daemon notifies the user of new mail when biff is set to y:

comsat        dgram   udp     wait    root    /usr/sbin/tcpd  in.comsat

#

# Shell, login, exec and talk are BSD protocols

#

#shell    stream    tcp    nowait    root    /usr/sbin/tcpd    in.rshd -L

#login    stream    tcp    nowait    root    /usr/sbin/tcpd    in.rlogind

# exec    stream    tcp    nowait    root    /usr/sbin/tcpd    in.rexecd

# talk    dgram    udp    wait    root    /usr/sbin/tcpd    in.talkd

#ntalk    dgram    udp    wait    root    /usr/sbin/tcpd    in.talkd

#

# To use the talk daemons from KDE, comment the talk and ntalk lines above

# and uncomment the ones below:

# talk    dgram   udp     wait    root    /usr/sbin/tcpd  /opt/kde/bin/kotalkd

# ntalk   dgram   udp     wait    root    /usr/sbin/tcpd  /opt/kde/bin/ktalkd

#

# Kerberos authenticated services

#

# klogin    stream    tcp    nowait    root    /usr/sbin/tcpd    rlogind -k

# eklogin    stream    tcp    nowait    root    /usr/sbin/tcpd    rlogind -k -x

# kshell    stream    tcp    nowait    root    /usr/sbin/tcpd    rshd -k

#

# Services run ONLY on the Kerberos server

#

# krbupdate    stream    tcp    nowait    root    /usr/sbin/tcpd    registerd

# kpasswd    stream    tcp    nowait    root    /usr/sbin/tcpd    kpasswdd

#

# POP and IMAP mail servers

#

# Post Office Protocol version 3 (POP3) server:

#pop3    stream  tcp     nowait  root    /usr/sbin/tcpd  /usr/sbin/popa3d

# Internet Message Access Protocol (IMAP) server:

#imap2   stream  tcp     nowait  root    /usr/sbin/tcpd  imapd

#

# The Internet Unix to Unix copy (UUCP) service:

# uucp    stream    tcp    nowait    uucp    /usr/sbin/tcpd    /usr/lib/uucp/uucico    -l

#

# Tftp service is provided primarily for booting.  Most sites

# run this only on machines acting as "boot servers." 

# tftp  dgram   udp     wait    root    /usr/sbin/in.tftpd  in.tftpd -s /tftpboot -r blksize

#

# Internet Bootstrap Protocol (BOOTP) server:

# bootps    dgram    udp    wait    root    /usr/sbin/bootpd    bootpd

#

# Finger, systat and netstat give out user information which may be

# valuable to potential "system crackers."  Many sites choose to disable 

# some or all of these services to improve security.

# Try "telnet localhost systat" and "telnet localhost netstat" to see that

# information yourself!

#finger    stream    tcp    nowait    nobody    /usr/sbin/tcpd    in.fingerd -u

# systat    stream    tcp    nowait    nobody    /usr/sbin/tcpd    /bin/ps    -auwwx

# netstat    stream    tcp    nowait    root    /usr/sbin/tcpd    /bin/netstat    -a

#

# Ident service is used for net authentication

auth    stream    tcp    wait    root    /usr/sbin/in.identd    in.identd

#

# These are to start Samba, an smb server that can export filesystems to

# Pathworks, Lanmanager for DOS, Windows for Workgroups, Windows95, Lanmanager

# for Windows, Lanmanager for OS/2, Windows NT, etc.  

# If you're running smbd and nmbd as daemons in /etc/rc.d/rc.samba, then you

# shouldn't uncomment these lines.

#netbios-ssn    stream  tcp     nowait  root    /usr/sbin/smbd  smbd

#netbios-ns     dgram   udp     wait    root    /usr/sbin/nmbd  nmbd

#

#Samba Web Administration Tool:

#swat           stream  tcp     nowait.400 root /usr/sbin/swat  swat

#

# Sun-RPC based services.

# <service name/version><sock_type><rpc/prot><flags><user><server><args>

# rstatd/1-3    dgram    rpc/udp    wait    root    /usr/sbin/tcpd    rpc.rstatd

# rusersd/2-3    dgram    rpc/udp    wait    root    /usr/sbin/tcpd    rpc.rusersd

# walld/1    dgram    rpc/udp    wait    root    /usr/sbin/tcpd    rpc.rwalld

#

# End of inetd.conf.

kite · 02-07-2006, 04:19 AM

Follow up:

Just now I used lftp ftp.xxxx to connecte a ftp. And then following was the output of tail -10 /var/log/syslog :

PHP Code:


			
tail -10 syslog
Feb  7 18:14:27 aqua inetd[6273]: /usr/sbin/in.identd: exit status 0x1
Feb  7 18:14:27 aqua inetd[28709]: execv /usr/sbin/in.identd: No such file or directory
Feb  7 18:14:27 aqua inetd[6273]: /usr/sbin/in.identd: exit status 0x1
Feb  7 18:14:27 aqua inetd[28710]: execv /usr/sbin/in.identd: No such file or directory
Feb  7 18:14:27 aqua inetd[6273]: /usr/sbin/in.identd: exit status 0x1
Feb  7 18:14:27 aqua inetd[28711]: execv /usr/sbin/in.identd: No such file or directory
Feb  7 18:14:27 aqua inetd[6273]: /usr/sbin/in.identd: exit status 0x1
Feb  7 18:14:27 aqua inetd[28712]: execv /usr/sbin/in.identd: No such file or directory
Feb  7 18:14:27 aqua inetd[6273]: /usr/sbin/in.identd: exit status 0x1
Feb  7 18:14:27 aqua inetd[28713]: execv /usr/sbin/in.identd: No such file or directory

Obviously it complained about missing /usr/sbin/in.identd file. And really I could not find that file on my system. Ah...

The lines of /etc/inetd.conf mentioned /usr/sbin/in.identd is as following:

PHP Code:


			
# Ident service is used for net authentication
auth    stream    tcp    wait    root    /usr/sbin/in.identd    in.identd
#

So, can I comment out that auth line without side effects?

Thanks.

mdarby · 02-07-2006, 05:53 AM

Yes, comment it out. I think the same line was causing my errors as well

katayamma · 02-08-2006, 01:00 AM

Weird. You must have missed something on the install is identd is part of the basic network distro package. You don't have to have it, but it can make connecting to some machines much faster if they look for an ident responce before allowing the connection to complete. IRC servers are most notorious for requiring it.

You might check your distro and dbl check to see that everything's loaded.

GlowGlow · 02-08-2006, 07:40 AM

This is a problem that happens when identd (or some other services, if I recall correctly with 'wait' and 'stream') are enabled, but when the binary is not available. If I recall correctly is does not happen when rate limiting is enabled.

But in the end, you should just have configured inetd correctly

. Expect things to break when configured improperly.

kite · 02-09-2006, 01:20 AM

Oh thanks for your tips. I am going to install pidentd-3.0.18-i486-1 which is not installed.