Newsgroup: it.comp.sicurezza.varie
Titolo: la spia del root-kit

Con Linux (Debian Etch, tutto al default d'installazione) esiste
uno o piu' file che *necessariamente* devono essere cambiati da un
eventuale intruso?  TIA
-- 
Ciao Minotto


No.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

eventuale intruso?  TIA
Si'. Nel senso che per forza devono essere cambiati uno o piu' file,
ma non necessariamente sempre gli stessi.
Quindi se fai un md5sum di massa partendo da un sistema pulito, e lo
rifai di nuovo bootando da un sistema pulito, un'identita' degli MD5
indica che il sistema non e' stato violato.
Il significato delle differenze dipende un po' da dove sono. In mail
te ne freghi, in /var/log e' ovvio che ci saranno, e in /lib/modules
potresti doverti preccupare oppure no.
Cosi' a pelle direi che se fai l'MD5 di /usr, /bin, /sbin e /lib, il
risultato e' ottenuto. Tranne che se hai siti web in /var (li' tutto
e' piu' complicato), /srv od /opt, oppure loadable module strani.
Leonardo senza starci troppo a pensare - occhio
-- 
While ordinarily valid that being widespread does not make a statement
true, I feel that the diffusion of anti-evolutionary beliefs does pose
a strong argument for Darwin having been, indeed, sorely mistaken.

indica che il sistema non e' stato violato.
Avrei dovuto farlo appena installata, se non capisco male ormai non
posso piu' farlo no? 
L'ho fatto con cmp e diff (dopo aver installato una Etch con la sola
console in una nuova partizione) e' lo stesso? ho dato (dalla nuova!):
diff -qr /bin /mnt/deb/bin
e poi per sbin, ed entrambe anche in /usr, solo che c'e' un mare
di file "Only in /mnt/deb/..." perche' non ho messo la gui, ma di
differenze ci sono solo in /sbin (mi scuso per la quantita') che
pero' dev'essere per l'update:
Files /sbin/badblocks and /mnt/deb/sbin/badblocks differ
Files /sbin/debugfs and /mnt/deb/sbin/debugfs differ
Files /sbin/dumpe2fs and /mnt/deb/sbin/dumpe2fs differ
Files /sbin/e2fsck and /mnt/deb/sbin/e2fsck differ
Files /sbin/e2image and /mnt/deb/sbin/e2image differ
Files /sbin/e2label and /mnt/deb/sbin/e2label differ
Files /sbin/findfs and /mnt/deb/sbin/findfs differ
Files /sbin/fsck.ext2 and /mnt/deb/sbin/fsck.ext2 differ
Files /sbin/fsck.ext3 and /mnt/deb/sbin/fsck.ext3 differ
Files /sbin/hwclock and /mnt/deb/sbin/hwclock differ
Files /sbin/ldconfig and /mnt/deb/sbin/ldconfig differ
Files /sbin/losetup and /mnt/deb/sbin/losetup differ
Files /sbin/mke2fs and /mnt/deb/sbin/mke2fs differ
Files /sbin/mkfs and /mnt/deb/sbin/mkfs differ
Files /sbin/mkfs.ext2 and /mnt/deb/sbin/mkfs.ext2 differ
Files /sbin/mkfs.ext3 and /mnt/deb/sbin/mkfs.ext3 differ
Files /sbin/resize2fs and /mnt/deb/sbin/resize2fs differ
Files /sbin/sfdisk and /mnt/deb/sbin/sfdisk differ
Files /sbin/swapoff and /mnt/deb/sbin/swapoff differ
Files /sbin/swapon and /mnt/deb/sbin/swapon differ
Files /sbin/tune2fs and /mnt/deb/sbin/tune2fs differ
Files /sbin/unix_chkpwd and /mnt/deb/sbin/unix_chkpwd differ
-- 
Ciao Minotto

Files /sbin/unix_chkpwd and /mnt/deb/sbin/unix_chkpwd differ
Ecco, giusto questa magari. Ma non ci sono RK che rompano l'anima "solo"
a unix_chkpwd, ***che io sappia***.
Ripeto la domanda intrigosa pero': com'e' che t'e' venuto di fare questi
controlli, se di solito non li fai (tant'e' che non avevi l'elenco degli
MD5)?
Leonardo


MD5)?
Perche' m'e' capitato tutto questo:
- ho perso la passwd del router
- ho aspettato mesi a resettare hardware il router
- ultimamente vedevo lento il download e non capendoci nulla di
queste cose ho pensato che forse c'era Lui attaccato
- prima ero con due amici sullo stesso router e loro avevano xp e
quindi erano alla merce' di tutti
- ora ho cambiato passwd sia al router sia all'accesso al providere
e voglio essere sicuro prima di aprire le porte aMule.
-- 
Ciao Minotto

e voglio essere sicuro prima di aprire le porte aMule.
Mmm. Non mi pare ci siano reali motivi di preoccuparsi (a parte che fa
sempre bene). Debian non e' proprio una distribuzione calabrache, e se
proprio vuoi che ti metta un dubbio, c'e' il sistema - con ALCUNI, non
tutti, i rùter - di modificarli in modo che facciano da proxy, e tutto
senza che chi e' dentro si accorga di nulla: nella rete interna tu non
entri mai, e chi e' dentro vede solo un rallentamento e lo imputa come
sempre al provider bastardo :-)
Anche XP, dietro un router, non e' facilissimo impestarlo. E quando lo
avessi fatto, chi e' che va a scassinare la Debian li' accanto? Giusto
una persona umana; ma ormai il grosso dell'hacking su Internet io vedo
che lo fanno dei fottuti bot.


 sempre al provider bastardo :-)
E le lucine del rùtter che fanno nel frattempo ?
Un Paperino che ha da tempo un sospetto a proposito di un certo rùtter. 

che lo fanno dei fottuti bot.
Ma esiste una sistemazione di Linux sicura al 100% contro
QUALSIASI bot o cracker umano?
Cioe', se io dopo aver fatto il Debian-bunker ti dico: "Ti sfido
e ti do per iscritto l'autorizzazione a procedere, vedi se riesci
a exploitarmela", tu ci riesci?
-- 
Ciao Minotto

 E le lucine del rùtter che fanno nel frattempo ?
Ma le lucine non segnalano soltanto il traffico relativo ad una certa 
porta ethernet?
-- 
no signature yet

porta ethernet?
Dipende dal router. Alcuni hanno la lucina WAN che lampeggia quando c'e'
traffico ADSL.


 a proposito di un certo rùtter.
ecco perchè spesso conviene avere il NAT/router
ed il modem separati (o un router che abbia un log
decente); con la config di cui sopra basterebbe un
coso di questo tipo
http://www.linuxjournal.com/article/6985
per dare un'occhiata a cosa sta transitando tra la
grande rete ed il rutter

 e' piu' complicato), /srv od /opt, oppure loadable module strani.
Eh, appunto: in presenza di rootkit in kernelspace i checksum possono
servire a poco o nulla...:-/

> indica che il sistema non e' stato violato.
[...]


Per questo avevo messo le condizioni stringenti all'inizio: "md5sum di
massa, partendo da un sistema pulito, e rifatto bootando da un sistema
pulito".
Altrimenti si chiede all'oste se il su' vino e' bòno - occupazione non
precisamente adatta agli amanti dell'inatteso, ecco :-D
Il problema se mai e' come interpretare gli MD5 che NON corrispondono:
nella directory Documenti forse uno se n'infischia, ma nella directory
di Apache? Un update a un semplice index.html puo' non voler dir nulla
- solo che e' stato aggiornato il sito.
Pero' se la nuova home page inizia con "Unicredit Banca", ecco...
Peggio ancora per script piu' o meno eseguibili, perl, php, CGI.
Quanto ai loadable module strani, non intendevo LKM trojani... mi sono
spiegato da cani, come mio solito. Intendevo, metti che uno ha dei LKM
fuori da /lib, magari in /home/ivr: bisogna che esamini pure quelli, o
il test non e' completo.
Il messaggio voleva essere "/lib, /sbin ecc. vanno bene - DI SOLITO".
Leonardo gesuita


a exploitarmela", tu ci riesci?
Attualmente no, ma tieni presente che io sono una mezza calzetta :-) -
e questa e' la MIA opinione; c'e' gente tosta che probabilmente non mi
concederebbe piu' di un quarto di calzetta, usata.
Quindi il fatto che io non ci riesca non e' che voglia dire troppo.


 Leonardo gesuita
LOL.

concederebbe piu' di un quarto di calzetta, usata.
See... un quarto si', ma di minuto che ci metti a farlo!
-- 
Ciao Minotto

Ciao! Io sono Alessandro Saitta (detto in passato Spammer Arcano) di
38 anni a Follonica, in via Cassarello 131! Visita il mio sito a:
http://www.alessandro-saitta.org
e discuti con me atraverso il mio forum!!!
Il 'Ballo Delle Mani Sul Culo (e del vaffanculo)' di Joe Natta con la
mia partecipazione straordinaria, verrà trasmesso all'interno del
programma 'Talent1' (su Italia1 ) alle ore 00.20 a.m. di Giovedì 31
Gennaio!Sintonizzati anche tu e fai crescere l'audience!
Andate a votarlo dato che siamo vicini alla prima posizione!!!! Potete
farlo da qui:
http://www.talent1.mediaset.it/talentone/video/videotalent_6308.shtml

cioe' in quale disco fisso finisco?
Sul RAM-disk del router :-D


Sul RAM-disk del router :-D
OK grazie e' chiarissimo e ora ho capito e provo ma piu' tardi perche'
devo reinstallare telnet che ho tolto perche', come dice Anonimo,
manda le passwd in chiaro.
-- 
Ciao Minotto

 manda le passwd in chiaro.
Quello da togliere e' il telnet DAEMON, non il telnet CLIENT, che si' manda 
le password in chiaro ma solo se glielo dici tu :)
Ciaotutti,
* 

 le password in chiaro ma solo se glielo dici tu :)
una pillolina di calmante no?