Febraham: gehackt? merkwürdige spam-Mails

Beitrag lesen

Ich bin jetzt einen Schritt weiter, was den Benutzer "30" angeht. Das ist augenscheinlich der Webserver selber ... Kein Wunder, dass der nicht als "Benutzer" zu finden ist.

Eigentlich sollte er in /etc/passwd zu finden sein.

Ist das normal, dass ich in der Prozessliste
/usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
insgesamt 5x drin habe (1x UID 0, 4x UID 30)?

Ja, ein Hauptprozess und vier davon abgespaltete, die sich um jeweils eine aktive Verbindung kümmern bzw. auf eine Verbindung warten. Je mehr Anfragen kommen, desto mehr Kindprozesse werden gestartet; es können durchaus auch mehrere Dutzend in der Liste auftauchen. Diese Prozesse laufen unter einem explizit für den Webserver eingerichtenen Nutzerkonto, das außer den für den Webbetrieb nötigen Rechten keine weiteren auf dem System hat.

Die Mindestzahl an Kindprozessen wird mit MinSpareServers in der Apache-Konfiguration festgelegt, die Benutzernummer der Kindprozesse lässt sich mit User einstellen.