71412 .fam* files unter /tmp

[Hammy]

irgendwie werden in unserem tmp ordner tausende .fam* files abgelegt.

was issn das? find irgendwie nichts dazu.

thx4help

[ZooL]

kenn ich nicht, aber ein wenig mehr infos..... vieleicht hilfreich...
zum einen stelle ich mir bei so einem thread die frage... welches tmp ?
und .....schonmal google gefragt?

[Hammy]

aso oh sorry ich red vom tmp ordner auf root also: /tmp/

dort liegen files wie:

Code:

0 srw-------  1 vmail  root        0 2009-11-13 23:36 .famc97eh0
   0 srw-------  1 vmail  root        0 2009-11-15 00:28 .famc99Aln
   0 srw-------  1 vmail  root        0 2009-11-15 18:17 .famC9A8pI
   0 srw-------  1 vmail  root        0 2009-11-14 19:14 .famC9AlRf
   0 srw-------  1 vmail  root        0 2009-11-15 21:08 .famc9aY6m
   0 srw-------  1 vmail  root        0 2009-11-13 12:01 .famC9B8p6
   0 srw-------  1 vmail  root        0 2009-11-14 18:28 .famC9Bi5l
   0 srw-------  1 vmail  root        0 2009-11-17 11:39 .famc9dCzA
   0 srw-------  1 vmail  root        0 2009-11-15 08:42 .famC9ETeD
   0 srw-------  1 vmail  root        0 2009-11-14 10:08 .famC9gahK
   0 srw-------  1 vmail  root        0 2009-11-15 12:16 .famC9H44d
   0 srw-------  1 vmail  root        0 2009-11-16 14:39 .famC9hMGG
   0 srw-------  1 vmail  root        0 2009-11-13 14:15 .famC9ieFk
   0 srw-------  1 vmail  root        0 2009-11-13 22:11 .famC9jqhq
   0 srw-------  1 vmail  root        0 2009-11-13 21:24 .famC9L1cl
   0 srw-------  1 vmail  root        0 2009-11-16 13:01 .famC9lsvi
   0 srw-------  1 vmail  root        0 2009-11-14 07:02 .famC9NmBU
   0 srw-------  1 vmail  root        0 2009-11-14 04:10 .famc9p8ZN

google erzählt mir auch ziemlich wenig darüber.

[TheCry]

Ich vermute stark das diese Dateien im Zusammenhang mit dem Mailserver hängen, da der User der Dateien "vmail" lautet.
Courier oder Postfix...
Gab es irgendwelche Probleme mit dem Verbindungsaufbau?

[fulltilt]

hm - ist aber sehr seltsam ...
könnte auch durch ein user script (eventl auch kompromittiert) verursacht worden sein.
Würde auch mal in die rkhunter logs schauen bzw. wo das genau herkommt.
modsecurity installiert?

[Hammy]

ja, dass es vom mail server kommt ist richtig, eben wegen dem vmail user.
es gibt anscheinend einen fam-process, der das macht. aber mehr weiß ich auch noch nichts davon.
habt ihr auch solche files?

modsecurity benutzen wir nicht, soweit ich das in erinnerung habe. werde da nochmal nachschaun.

hatten eine zeit lang NOQUEUE Meldungen in mail.log. vielleicht kommt das problem daher.
bleib dem jedenfalls auf der spur und sag bescheid, wenn ich mehr weißt!

[ZooL]

aptitude install fam

ist das programm installiert `?

[Hammy]

ja, fam ist installiert.

soweit ich das jetzt gesehen habe ist das tmp file nicht weiter angewachsen.

[ZooL]

es kommt von dem programm und es hat irgendwas mit imap zu tun. soviel kann ich dazu sagen....

mfg