Newsgroup: it.comp.sicurezza.varie
Titolo: impossibile cancellare file e cartelle dopo intusione hacker

Ci siamo accorti (solo dopo aver rafforzato il firewall e preso altro
hardware per la sicurezza) che sul nostro server ftp
si erano introdotte persone malintenzionate utilizzandolo grosso modo come
file server di file che lascio immaginare.
Alcuni erano insulti, altri programmi e così via
Ora abbiamo bloccato la situazione tuttavia rimangono molti file e cartelle
su file server che non si riescono a cancellare neanche da dos o via ftp o
modificando gli attibuti
Riporto di seguito il percorso di alcune di queste cartelle:
Spazio WEB\Ftp\ \ \ \ \                   \      \tagged by Torrow858\
prn.hsp.laserjet\com1 \           \lpt1 \     \ \ \          \AUX \
\filez\This Pub
is already tagged by ESB-FTP
--
Spazio WEB\Ftp\^?\_\    prn3       \  com1   \    RandoMaze
3,56256606917083E+34   
--
Spazio WEB\Ftp\         \  \  com1  \  .%d ;;%f;;%20 .;;%g  \  t@g by rush23
\  .con;nul  \  \incoming
--
Spazio WEB\Ftp\1\UpNetworx\1\presents\1\CNC\1\and\0\by\1\1\1\aux3
Sono presenti molti spazi o caratteri jolly.
Sapete come aggirare il problema o quale tool si può usare?
grazie
R.M.

 come file server di file che lascio immaginare.
Che OS? Avete accesso fisico al server?

 dos o via ftp o modificando gli attibuti
Il problema sono i caratteri illegali e i nomi che contengono i device
(nul, lpt, com1). 
Probabilmente partendo da linux, montando la partizione, riesci ad
eliminare i files incriminati.
Il problema, in realta', e' che dopo l'intrusione non siete in grado di
garantire la bonta' dei files presenti sul disco, nel senso che
qualunque file potrebbe essere stato modificato per aprire una porta
verso l'esterno e permettere l'intruso di rientrare.
Quindi l'unica cosa seria che potete fare e' formattare e reinstallare
completamente il sistema, partendo da un backup sicuramente buono (no,
farlo ora, il backup, non vale).
Questa e' l'unica cosa sensata da fare, IMNSHO.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
- Per Berlusconi un'affascinante sfida quella dell'Europa   -
- Gli si apre tutto un altro mondo da insultare (ellekappa) -

 ha scritto nel messaggio
news:bikj93$1nje$1...@half.spin.it...


 ha scritto nel messaggio
news:20030828115055.0b...@vene.ws...


 hai qualche idea?
Provato con un rd /s sulla directory con il nome leggibile?

 Grazie a tutti per il cortese aiuto
Di nulla.
Quota, pero', per cortesia.


 Quota, pero', per cortesia.
sto pensando a qualcosa di carino
Saluti


 Sapete come aggirare il problema o quale tool si può usare?
Devi utilizzare delle utilita' compatibili posix. Cerca gli unix 
tools per windows nt.
Fabio

 sto pensando a qualcosa di carino
Per ora va bene cosi' (piu' o meno. ma e' un inizio.)


 ha scritto nel messaggio
news:MPG.19b8117ce...@powernews.libero.it...


 > > No. Una macchina compromessa e' inaffidabile. Va reinstallata.
Su questo sono d'accordo, ma l'intrusione FTP su un server Win NT penso sia,
in questo caso come in quasi tutti gli altri, dovuta semplicemente al fatto
che l'impostazione di default del server FTP di IIS sia everyone read/write.
Per cui i file da eliminare sono solo quelli nella/nelle cartelle relative
al sito FTP, non quelle di sistema o altro.
termoPilucco

 IIS sia everyone read/write. 
Ne sei sicuro al 100%? io, in tutta sincerita', farei la fatica di
reinstallare.
HappyCactus che magari sono entrati da qualche altra parte...


 eliminare i files incriminati.
ma no, insomma. Basta mettere \\.\ davanti al path completo: Windows lo 
interpreterà come un sotto-path ad una device, e non s'impiccerà di che 
contiene o non contiene
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.2. C, C++ and ASM developers
                               and beta testers are welcome!

 E se c'e' o non c'e', tu non potrai mai saperlo.
Oddio sempre più difficile, vedrò il mio capo che ne dice.
Io sarei già felice di riuscire a chiudere le falle senza affondare.
Il problema e che ne io, ne il mio responsabile siamo degli esperti in campo
sicurezza (io sono un ex sistemista /DBA Lotus Domino fai te).
Intanto su it.comp.os.win.nt
dove avevo già postato in precedenza il problema mi ha risposto Alessandro
Borille
passandomi  questo link della KB di microsoft dove si parla proprio dell
Resource Kit e della necessità di utilizzare tools posix direttamente sulla
macchina interessata:
http://support.microsoft.com/default.aspx?scid=kb;en-us;120716
grazie a tutti per gli aiuti e suggerimenti in merito
RM

 contiene o non contiene
Mi pareva di ricordare che non tutte le utilita' a linea di comando
da usarsi nella pulizia fossero compatibili con questa sintassi, ma
magari mi ricordo male (takeown?). 
Comunque si puo' sempre fare utilizzando il "metodo definitivo" (C)
e cioe'... usando il servizio ftp :-)
Fabio che come ti ho fatto ti distruggo

 ha scritto nel messaggio
news:MPG.19b941392...@powernews.libero.it...


 esempio di comando da lanciare via ftp da suggerire fatemi sapere.
Collegati con telnet (o con un client ftp che consenta d'inviare comandi RAW) 
alla porta 21/tcp del server ftpd e poi usa CWD (per cambiare directory), RMD 
(per cancellare una directory), ecc. ecc. (vedi rfc 959 per i comandi).
Per cancellare una directory devi indicarla con il nome completo ed esatto, e
di solito e' la parte difficile, perche' vengono usati caratteri farlocchi di
cui devi azzeccare esattamente il numero (spesso sono solo spazi).
Per cancellare rispettivamente "com1 " e "com1  ", ad esempio, dovrai fare:
                                    ^         ^^
RMD com1 / /
RMD com1  / /
Quando sono presenti nomi come questi la sintassi che t'ha consigliato juliet
deve essere usata con accortezza, perche' il parser delle opzioni della linea
di comando delle utilita' windows strippa via gli spazi in coda, anche se usi 
il nome tra doppi apici. In questo caso devi aggiungere un backslash dopo gli
spazi e includere tutto tra doppi apici, tipo:
rmdir "\\.\c:\inetpub\ftproot\com1 \"
rmdir "\\.\c:\inetpub\ftproot\com1  \"
e la dimenticanza dei doppi apici potrebbe avere decorso fatale, con deltree,
del o cose simili.
Fabio

 > Ho giŕ provato via FTP provando i comandi unix che conosco; se avete


 spazi e includere tutto tra doppi apici, tipo:
Dopo? Non era prima?
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 195WU/1yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/