[SOLVED] Cron Protokoll: "expr: syntax error" 19 mal pro Tag

[Kaimane]

Hallo zusammen,

ich bekomme seit einiger Zeit im Cron Protokoll die Ausgabe "expr: syntax error".
Diese Meldung wird pro Tag 19 mal, gegen 23 Uhr geschrieben.
Ein Auszug der vergangenen drei Tage:

Sun Jun 14 23:00:56 CEST 2015 expr: syntax error
Sun Jun 14 23:01:04 CEST 2015 expr: syntax error
Sun Jun 14 23:01:09 CEST 2015 expr: syntax error
Sun Jun 14 23:01:09 CEST 2015 expr: syntax error
Sun Jun 14 23:01:11 CEST 2015 expr: syntax error
Sun Jun 14 23:01:16 CEST 2015 expr: syntax error
Sun Jun 14 23:01:27 CEST 2015 expr: syntax error
Sun Jun 14 23:01:30 CEST 2015 expr: syntax error
Sun Jun 14 23:01:33 CEST 2015 expr: syntax error
Sun Jun 14 23:01:37 CEST 2015 expr: syntax error
Sun Jun 14 23:01:39 CEST 2015 expr: syntax error
Sun Jun 14 23:01:41 CEST 2015 expr: syntax error
Sun Jun 14 23:01:41 CEST 2015 expr: syntax error
Sun Jun 14 23:01:42 CEST 2015 expr: syntax error
Sun Jun 14 23:01:43 CEST 2015 expr: syntax error
Sun Jun 14 23:01:43 CEST 2015 expr: syntax error
Sun Jun 14 23:01:44 CEST 2015 expr: syntax error
Sun Jun 14 23:01:57 CEST 2015 expr: syntax error
Sun Jun 14 23:02:03 CEST 2015 expr: syntax error
Mon Jun 15 23:00:54 CEST 2015 expr: syntax error
Mon Jun 15 23:01:01 CEST 2015 expr: syntax error
Mon Jun 15 23:01:06 CEST 2015 expr: syntax error
Mon Jun 15 23:01:07 CEST 2015 expr: syntax error
Mon Jun 15 23:01:09 CEST 2015 expr: syntax error
Mon Jun 15 23:01:13 CEST 2015 expr: syntax error
Mon Jun 15 23:01:23 CEST 2015 expr: syntax error
Mon Jun 15 23:01:26 CEST 2015 expr: syntax error
Mon Jun 15 23:01:29 CEST 2015 expr: syntax error
Mon Jun 15 23:01:32 CEST 2015 expr: syntax error
Mon Jun 15 23:01:34 CEST 2015 expr: syntax error
Mon Jun 15 23:01:36 CEST 2015 expr: syntax error
Mon Jun 15 23:01:37 CEST 2015 expr: syntax error
Mon Jun 15 23:01:37 CEST 2015 expr: syntax error
Mon Jun 15 23:01:38 CEST 2015 expr: syntax error
Mon Jun 15 23:01:39 CEST 2015 expr: syntax error
Mon Jun 15 23:01:39 CEST 2015 expr: syntax error
Mon Jun 15 23:01:52 CEST 2015 expr: syntax error
Mon Jun 15 23:01:59 CEST 2015 expr: syntax error
Tue Jun 16 23:00:51 CEST 2015 expr: syntax error
Tue Jun 16 23:00:57 CEST 2015 expr: syntax error
Tue Jun 16 23:01:02 CEST 2015 expr: syntax error
Tue Jun 16 23:01:02 CEST 2015 expr: syntax error
Tue Jun 16 23:01:04 CEST 2015 expr: syntax error
Tue Jun 16 23:01:08 CEST 2015 expr: syntax error
Tue Jun 16 23:01:17 CEST 2015 expr: syntax error
Tue Jun 16 23:01:20 CEST 2015 expr: syntax error
Tue Jun 16 23:01:22 CEST 2015 expr: syntax error
Tue Jun 16 23:01:25 CEST 2015 expr: syntax error
Tue Jun 16 23:01:26 CEST 2015 expr: syntax error
Tue Jun 16 23:01:28 CEST 2015 expr: syntax error
Tue Jun 16 23:01:28 CEST 2015 expr: syntax error
Tue Jun 16 23:01:29 CEST 2015 expr: syntax error
Tue Jun 16 23:01:29 CEST 2015 expr: syntax error
Tue Jun 16 23:01:29 CEST 2015 expr: syntax error
Tue Jun 16 23:01:30 CEST 2015 expr: syntax error
Tue Jun 16 23:01:42 CEST 2015 expr: syntax error
Tue Jun 16 23:01:47 CEST 2015 expr: syntax error

Der Server (Debian testing) wurde auf Basis des "Perfect Server Debian Wheezy with Nginx, Postfix, Dovecot, etc." aufgesetzt und läuft in einem Verbund mit einem auf gleicherweise installierten Server. Auch hier gibt es die "syntax error" Meldungen im Cron Protokoll.
Ich vermute der "syntax error" trat das erste Mal nach einem Update der Server auf, wobei ich nicht mehr eingrenzen kann, welche Pakete bzw. welche Version von ISPConfig zu diesem Zeitpunkt aktualisiert wurden.

Da ich auch mit Hilfe von Onkel Google keine weiteren Hinweise gefunden haben, die mich auf der Suche nach dem Problem weiterbringen und ich die Meldung nicht stumpf ignorieren möchte ... Vllt habt ihr eine Idee, die fehlerhafte Syntax zu finden?


Vielen Dank für eure Unterstützung.
Kai

 

[robotto7831a]

Gibt es bei dir Cronjobs die gegen 23:00 Uhr starten?

 

[Till]

Sind das Server von ovh?

 

[JeGr]

Der Server (Debian testing) wurde auf Basis des "Perfect Server Debian Wheezy

Doofe Frage. Wurde der jetzt mit Testing aufgesetzt? Dann wäre das ja schon die Version nach Jessie. Und die kommt mit SystemD und Co und wesentlich neueren Paketen an den Start. Dass da die Werte aus Wheezy nicht stimmen, ist eigentlich wenig verwunderlich?

 

[Kaimane]

Gibt es bei dir Cronjobs die gegen 23:00 Uhr starten?

Nein, gegen 23 Uhr starten keine Cronjobs.

Sind das Server von ovh?

Nein, die Server stehen nicht bei OVH. Das sind mit KVM virtualisierte vServer.

Doofe Frage. Wurde der jetzt mit Testing aufgesetzt? Dann wäre das ja schon die Version nach Jessie. Und die kommt mit SystemD und Co und wesentlich neueren Paketen an den Start. Dass da die Werte aus Wheezy nicht stimmen, ist eigentlich wenig verwunderlich?

Nein, die Server wurden im August vergangenes Jahr auf testing aufgesetzt. Erst Monate nachdem die Server aufgesetzt waren und bevor Debian testing zu "Stretch" wurde, stellte ich auf einmal diese Ausgabe auf beiden Servern gleichermaßen fest.

 

[JeGr]

August letzten Jahres ist aber auch schon testing/jessie gewesen und nicht mehr Wheezy? Just sayin...

 

[Kaimane]

August letzten Jahres ist aber auch schon testing/jessie gewesen und nicht mehr Wheezy? Just sayin...

Da stimme ich dir voll und ganz zu. Testing war da auch schon Jessie. Allerdings hast du gefragt, ob der Server jetzt mit testing aufgesetzt wurde. Und das ist eben nicht so. Aufgesetzt mit Wheezy stable, dann auf testing (also Jessie zu dem Zeitpunkt) hochgezogen. Und dann hatte ich Monate lang keine Probleme, bis irgendwann (innerhalb der testing / jessie Phase) die "syntax error"-Meldungen aufgetaucht sind.

Was ich jedoch viel interessanter fände, wie ich den syntax Fehler aus dem Cron Protokoll bekomme.
Klar ist, ich habe manuell keine weiteren Cronjobs angelegt. Die Meldungen tauchen im Cron Protokoll von ISPConfig auf, also nehme ich an es muss etwas sein, was von ISPConfig geprüft, abgefragt, überwacht oder angestoßen wird. Da die Meldungen gegen 23 Uhr geschrieben werden, fällt der ISPConfig-Cronjob, der die cron_daily.sh um 00:30 Uhr anstößt, schon mal raus.
Also bleibt nur der Cronjob, der die /usr/local/ispconfig/server/server.sh aufruft.

 

[Till]

Es kann meines Erachtens nur etwas aus dem monitor sein (monitor_core_module.inc.php) und das einzige was dort ausschließlich um 23 uhr läuft ist der rkhunter check.

 

[Kaimane]

Es kann meines Erachtens nur etwas aus dem monitor sein (monitor_core_module.inc.php) und das einzige was dort ausschließlich um 23 uhr läuft ist der rkhunter check.

Dieser Hinweis war so goldwert, Till! Tausend Dank.
Auszug aus dem Cron Protokoll von gestern:

Wed Jun 17 23:02:38 CEST 2015 expr: syntax error
Wed Jun 17 23:02:44 CEST 2015 expr: syntax error
Wed Jun 17 23:02:48 CEST 2015 expr: syntax error
Wed Jun 17 23:02:48 CEST 2015 expr: syntax error
Wed Jun 17 23:02:50 CEST 2015 expr: syntax error
Wed Jun 17 23:02:53 CEST 2015 expr: syntax error
Wed Jun 17 23:03:02 CEST 2015 expr: syntax error
Wed Jun 17 23:03:04 CEST 2015 expr: syntax error
Wed Jun 17 23:03:07 CEST 2015 expr: syntax error
Wed Jun 17 23:03:10 CEST 2015 expr: syntax error
Wed Jun 17 23:03:12 CEST 2015 expr: syntax error
Wed Jun 17 23:03:13 CEST 2015 expr: syntax error
Wed Jun 17 23:03:13 CEST 2015 expr: syntax error
Wed Jun 17 23:03:14 CEST 2015 expr: syntax error
Wed Jun 17 23:03:15 CEST 2015 expr: syntax error
Wed Jun 17 23:03:15 CEST 2015 expr: syntax error
Wed Jun 17 23:03:16 CEST 2015 expr: syntax error
Wed Jun 17 23:03:27 CEST 2015 expr: syntax error
Wed Jun 17 23:03:33 CEST 2015 expr: syntax error

Und nun einzelne Zeilen aus der /var/log/rkhunter.log

[23:02:38] Warning: No symbolic link target found for file '/usr/bin/awk' in the 'rkhunter.dat' file.
[23:02:44] Warning: No symbolic link target found for file '/usr/bin/GET' in the 'rkhunter.dat' file.
[23:02:48] Warning: No symbolic link target found for file '/usr/bin/less' in the 'rkhunter.dat' file.
[23:02:48] Warning: No symbolic link target found for file '/usr/bin/locate' in the 'rkhunter.dat' file.
[23:02:50] Warning: No symbolic link target found for file '/usr/bin/mail' in the 'rkhunter.dat' file.

Die Warnings aus der rkhunter.log sind mit den "expr: syntax error" absolut deckungsgleich, auch wenn ich nicht jedes einzelne Warning aufgelistet habe.
Ich werde das weiter prüfen und nun rkhunter genauer unter die Lupe nehmen.
Wenn ihr Hinweise zu den Warnings von rkhunter habt, bitte nicht zögern und mitteilen ;-)

 

[Kaimane]

Hab vorhin auf dem ersten Server ein

sudo rkhunter --propupd --update

ausgeführt, auf dem anderen nicht.
23 Uhr ist nun vorbei und auf dem ersten Server gibt es keine "expr: syntax error" mehr, auf dem anderen jedoch schon.
Vermutlich hätte

--update

gar nicht sein gemusst, da ISPConfig beim abendlichen Starten von rkhunter den Parameter ebenfalls setzt.
Nun denn, Problem gelöst. Noch mal vielen Dank @Till für den zielführenden Denkanstoß!