Newsgroup: it.comp.sicurezza.varie
Titolo: Sono entrati nel mio server?

Mariannagane... Giusto ieri ho finito di metter su un serverino
sperimentale,e funzionava tutto quanto : ftp, http ed il resto.
Stamani vado a controllare e.. ORRORE :
*il sevizio ftp non va piů
* il log "lastlog" č di ben 18 Mb, ed aprendolo contiene solo questa riga
all'inizio :
Ç.F<ftpa82171.upc-a.chello.nlgSF<pts/0192.168.0.2řéE<ftp192.168.0.2
Cosa dite, troppe porte aperte hanno attirato...qualcuno nella notte?
Che posso fare per sistemare il tutto? Formatto e reinstallo???
:-(((
Riccardo

 all'inizio :
Uhm visto che parli di lastlog presumo sia una macchina
UNIX/Linux/altri: se non avevi su un qualche tool tipo tripwire che
possa indicarti cosa e' stato modificato non ti rimane che reinstallare
tutto perche' non puoi sapere cosa e' stato compromesso, se sono stati
installati binari "trojanized" di /bin/login o altro. Armati di
pazienza, reinstalla tutto e che ti serva di lezione per le prossime
volte: se davvero avevi lasciato un fracco di porte aperte potranno aver
usato un qualsiasi exploit per entrare nel sistema.
E stavolta non dimenticarti di installare anche tripwire e di tenere il
database in un luogo sicuro, che so, un floppy in triplice copia che
custodisci in un cassetto a casa.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
Ciao

 limiti di HD (2 Gb...), oltre che di esperienza...
Meglio ancora Debian, quantomeno hai un package manager degno di questo
nome.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).


 nome.
Ok. lo scarico, lo masterizzo e lo provo...
Per prima cosa ci butto sopra webmin, e' davvero troppo comodo e ben fatto,
almeno a mio avviso...
Grazie !


> * Sostenete la Lega per la Soppressione dei Troll *
E quota meglio, senza includere la firma !!
-- 


 
...sorry :-\

 ...ed ora mi vergogno per la mia ignoranza : che vuol dire GOTCHA ???
non guardi i pokemon?
-- 
http://werted.cjb.net
icq # 145246107

 P
...ma veramente è lui che, giustamente, ha ripreso me...
:-(((
;-)


 ...no...
(ecco xchè mi sono entrati nel serverino e mi hanno fatto...casino !!!)
:-)


Credo di esser stato io a non settare qualcosa come invece avrei dovuto...
Ora ho riformattato e reinstallato il mio povero Serverrik, non si sa mai...
Starò più attento, ora : speriamo che sia sufficiente !!!
Ciao,
Riccardo

 Parrebbe un DoS sul demone ftp....
Non saprei, oramai non mi interesso piu' di RH dalla 6.2 in su.


 :-(((
Infatti chi hai quotato non ha capito una mazza..



Forse perchč avevo erroneamente lasciato la prima parte, dove c'č il mio
indirizzo...
Insomma, HO FATTO UN CACCIUCCO !!!
:-) Rik

Non saprei, oramai non mi interesso piu' di RH dalla 6.2 in su.
La cosa piu' ovvia sarebbe cercare sul sito di RedFard :)
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

 La cosa piu' ovvia sarebbe cercare sul sito di RedFard :)
O meglio su Bugtraq :)


 O meglio su Bugtraq :)
Io uso RedHat, guardando la lista dei pacchetti degli updates che ho in
locale vedo un wu-ftpd-2.6.1-20.i386.rpm. Io uso proftpd per cui non sono
sicuro, ma se c'č tale pacchetto probabilmente corregge qualche security bug
del demone ftp, scommetto che l'autore del post originale non ha fatto
l'upgrade dei pacchetti con gli ultimi disponibili...


Hai perso la scommessa !!!
Dopo aver installato, faccio sempre gli aggiornamenti !
Piuttosto può darsi che abbia sbagliato qualcosa io nel modificare qualche
settaggio o permesso...
Sai com'è, sto cercando di acquisire un po' di esperienza, partendo da zero
o poco più...
;-) Rik

 ;-) Rik
azz, peccato. A questo punto perň sono proprio curioso di sapere come hanno
fatto...sai come'č, ho giusto giusto un paio di server con rh 7.2 installati
e non vorrei avere brutte sorprese :)


Allora, al termine della installazione ed aggiornamento, ho impostato i vari
demoni httpd ed ftpd, oltre a samba ed altro. Nessun problema per accedere
ad ftp, http e telnet, mentre samba non ne voleva sapere, come pure https e
tantomeno la risoluzione locale dei nomi. C'è da dire che in questo caso la
sicurezza era ottima, facendo un portscan da un'altra workstation sul
server, lo stesso neanche rispondeva !! Allora ho provato a "smanettare" un
po' tutto ciò che credevo potesse essere imputabile, aprendo tutto
l'apribile :-) ... Dopo un po' ho provato a modificare il setup del firewall
e...magia ! Tutti i servizi che non funzionavano sono, per incanto divenuti
disponibili.Facendo però il portscan , adesso il server rispondeva
allegramente, e risultavano aperte ben 6 porte... Mi riservavo di richiudere
e risistemare tutto oggi, ma qualcuno mi ha...anticipato : stanotte ho visto
dai log due accessi ftp anonimi, uno dall'olanda ed uno dalla germania, che
hanno probabilmente fatto "il danno", in quanto stamani mattina il demone
ftp non ne voleva sapere di funzionare... Infatti l'email (fasulla e non
standard) inserita da questi user come pw era stranamente...la stessa :-)))
Probabilmente qualcuno ha fatto "il giro largo"...
Allora, visto che il danno era fatto, e non chiaramente quantificabile,  ho
preferito formattare e reinstallare...
Beh, ecco la dis-avventura del mio neonato serverrik, già morto, ma
presto...risorto !!!
Ciao

 Probabilmente qualcuno ha fatto "il giro largo"...
qualcosa tipo:
Dec 19 22:25:39 dmz ftpd[1263]: PASS 
an...@xfer.com
Dec 19 22:25:39 dmz ftpd[1263]: ANONYMOUS FTP LOGIN FROM
p50834971.dip.t-dialin.net
 [80.131.73.113], 
an...@xfer.com
Dec 19 22:25:39 dmz ftpd[1263]: MKD ~tmp.
Dec 19 22:25:39 dmz ftpd[1263]: anonymous(
an...@xfer.com
) of
p50834971.dip.t-dialin.net
 [80.131.73.113] tried to create directory
/var/ftp/pub/~tmp.
Dec 19 22:25:40 dmz ftpd[1263]: PWD
Dec 19 22:25:40 dmz ftpd[1263]: CWD upload
Dec 19 22:25:41 dmz ftpd[1263]: MKD ~tmp.
Dec 19 22:25:41 dmz ftpd[1263]: anonymous(
an...@xfer.com
) of
p50834971.dip.t-dialin.net
 [80.131.73.113] tried to create directory
/var/ftp/pub/~tmp.
Saluti
--
Stefano Zamboni 
sz...@libero.it
Legge di Rudin:
In casi di crisi che obbligano la gente a scegliere tra varie linee di
condotta, la maggioranza sceglierà la peggiore possibile.


Beh, più o meno, ma credo che si sia  limitato a deletare qualche cosa...
Nel log non c'erano tracce di scrittura, creazione dir o altro da parte
dell'ospite...
Ma qualcosa deve aver fatto, per far fuori definitivamente WU-FTP...
Beh, oramai è andata. Dovrò studiarmi di più le regole ipchain...

 l'upgrade dei pacchetti con gli ultimi disponibili...
Puo' essere che in quel pacchetto ci siano dei bugfix (era passata una
segnalazione globale, cioe' per tutte le distribuzioni Linux, un po' di
tempo fa) ma io personalmente wu-ftpd non lo uso piu' da tempo, anche io
sono passato a Proftpd che e' piu' sicuro.


l'upgrade dei pacchetti con gli ultimi disponibili...
Non ho capito molto il senso della frase, comunque wu-ftp ha un baco
piuttosto grosso nel file globbing (heap corruption), che anche se non
e' ancora exploitato, almeno, non pubblicamente, per compromettere la
macchina o per DoS, sarebbe decisamente meglio tappare.
ProFTP, se non ricordo male, aveva qualche vulnerabilita' recente, ma,
ancora, ti consiglio di cercare su bugtraq.


preferito formattare e reinstallare...
uhm, male.
Avresti dovuto cercare di capire COME erano entrati, per evitare di
commettere l'errore....
Hai tenuto per caso le configurazioni del demone ftp? ah, era ProFTP o
wu-ftp? 



Hai ragione, ma la mia poca esperienza (sto cercando di farmela!!!) non mi
aiuta granchè...
Ero già contento di esser riuscito a "tirarlo su"...
Non, non ho tenuto le configurazioni di wu-ftp...
Sorry...

Sorry...
*SIGH* :)
Vabbe', un consiglio: passa ad una distribuzione piu' orientata alla
sicurezza, qualche cosa che sia gia' di suo configurata al massimo
della sicurezza, tipo la debian; le configurazioni di default sono
abbastanza buone. Poi, in base alle tue necessita' e agli esperimenti
che vuoi fare, andrai a personalizzarle. Chiaramente prima dovrai
leggerti per benone gli how-to e le man pages, ma intanto avrai un
qualcosa che gia' di suo e' stabile e sicuro...



...mhh ... ieri ho provato (grazie ADSL !!!) a scaricarla dalla rete, ma,
come del resto per suse 7.3, non esiste una vera e propria "fonte" dove
scaricarsi gli ISO da masterizzare. Esiste l'installazione via FTP, ma mi
sembra che sia volutamente incasinata per...scoraggiare il download
ed...incoraggiare l'acquisto ;-)
Mi sbaglierò, forse... Come si dice, "a pensare male si fa peccato, ma
spesso ci si indovina!!!"
Rik

 come del resto per suse 7.3, non esiste una vera e propria "fonte" dove
[...]
www.linuxiso.org
 ;)
Ave!
-- 
Black Shark - ICQ# 5301833
Togli OE per rispondermi
IAMM - it.arti.musica.metal - 
www.iammol.com

 
...se tu fossi una bella ragazza, ti darei un bacio !!! 
Ma credo che tu non lo sia, quindi mi limito ad un sincero
GRAZIE !!!!!!!!!!!!!!!!!!
Rik

 download ed...incoraggiare l'acquisto ;-)
La Debian non si vende.

 La Debian non si vende.
Non lo sapevo...
Comunque sto downloadando la 2.2r4 in questo momento...

all'inizio :
Aprendolo con cosa? Con il comando "last"?
Cosa c'e' in messages? E che date vedi? (esistono dei kit per
'sanitizzare' i logs, ma vale la pena guardare ugualmente).
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center


Dopo mi sono reso conto che forse stavo guardando nel file sbagliato (sono
in procinto di "farmi le ossa"...), ed ho aperto messages : qui ho visto che
un tizio ha fatto FTP alle 2 di notte entrando come anonimo da un IP in
Olanda ; "Un altro" ha poi fatto FTP mi pare alle 4 di mattina, entrando con
un IP dalla germania ma, guarda caso, con la stessa PW non standard del
precedente user... E la mattina il demone FTP era morto...
Questo è quanto so e posso quindi raccontare...

 ...ed ora mi vergogno per la mia ignoranza : che vuol dire GOTCHA ???
il livello 30 di doom ;)
-- 
nebbia

 il livello 30 di doom ;)
cavolo doom! che bello. ma si trova ancora?
-- 
http://werted.cjb.net
icq # 145246107

  il livello 30 di doom ;)
tu sei malato, lo sai ? :)
-- 
 (o_   Su questo anello, le lettere riportate da Isildur possono essere 
 //\   ancora lette. Io l'ho fatto, ed ecco cosa vi ho letto:
 V_/_  "Ash nazg durbatuluk, ash nazg gimbatul, ash nazg thrakatuluk 
       agh burzum-ishi krimpatul."  

 tu sei malato, lo sai ? :)
dimmi che ho bisogno di ferie <G>.
-- 
nebbia

  dimmi che ho bisogno di ferie <G>.
Per me, hai bisogno di ferie, e TANTE <G>  


cavolo doom! che bello. ma si trova ancora?
Certo.
Con tanto di sorgenti.


 Con tanto di sorgenti.
link pls?


link pls?
(prima voce trovata da google!)
http://jcomm.uoregon.edu/~stevev/Linux-DOOM-FAQ.html#where
