Newsgroup: it.comp.os.linux.iniziare
Titolo: navigare in sicurezza ... molti dubbi !

Ho installato ormai da vari mesi una RedHat 6.1 e vorrei trasferirmi
totalmente sotto linux se non altro per usare internet.
La mia paura è però di non essere molto al sicuro da eventuali
attacchi: ho modificato inetd.conf commentando tutti i servizi che
erano aperti e aggiornato qualche pacchetto "critico" all'ultima
versione.
Mi posso ritenere moderatamente sicuro (al meno al pari di un utente
win) oppure dovrei fare altre modifiche controlli ecc.?
sendmail (che mi pare accetti connessioni su una data porta) è un
potenziale "pericolo" anche lui?
C'è poi una cosa che non capisco: perché lasciare aperto un servizio
telnet piuttosto che ftp o simili è pericoloso? perché devono essere
ben configurati o comunque sono sempre una "falla"? i server che
offrono servizi di questo tipo come fanno? sono costantemente a
rischio?
un'ultima cosa non meno importante delle precedenti: come faccio a
accorgermi che qualcuno ha "bucato" il mio sistema prima di trovarmi
tutti i file cancellati o cose del genere? magari comincia con fare
cose piccole e potrei beccarlo prima che un giorno sapendo come
accedere al mio sistema gli venga in mente di fare qualcos'altro.
quali log devo guardare e cosa devo cercare? devo aggiungere script o
altri programmi per loggare un maggior numero di cose o cmq quello che
l'eventuale hacker fa o tenta di fare viene già automaticamente
loggato da qualche parte?
grazie

l'eventuale hacker fa o tenta di fare viene già automaticamente
Questi files possono darti delle indicazioni:
/var/log/syslog
/var/log/messages
/var/log/auth.log 
[le informazioni che ti danno variano a seconda della configurazione di
/etc/syslog.conf]
Leggi il Security-HOWTO, 
http://www.pluto.linux.it/ildp/
 : oltre a
spiegazioni e ad accorgimenti da tenere, fornisce links utili.
Saluti.
-- 
Francesco Toscan                      | WinNT(s):
fathom(at)
penguinpowered.com
          | un frammento per trovarli
http://www.penguinpowered.com/~fathom
 | un frammento per domarli
[In costruzione :(]                   | un frammento per crasharli
ICQ: 26435470                         | e nel bluescreen incatenarli

sensi. Sostituiscilo con postfix o qmail.
Io uso sendmail come smtp server, però ho messo in /etc/hosts.allow solo
"sendmail:127.0.0.1", e in hosts.deny ALL:ALL.
E' sufficiente ad impedire accessi esterni non autorizzati oppure devo
prendere altre precauzioni?
Teoricamente con l'allow solo a 127.0.0.1 non dovrebbero essere accettati
accessi "esterni" di qualunque tipo essi siano, o no?
-- 
Crononauta
==========
ICQ UIN: 4005815
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.htm
GP Legends: 
http://www.multiplayer.it/driving/

E' sufficiente ad impedire accessi esterni non autorizzati oppure devo
*teoricamente* si...non so come si metta la faccenda con lo
spoofing...cmq su it.comp.sicurezza.unix [qui credo proprio sia OT]
persone molto piu' preparate e compententi di me potranno toglierti ogni
dubbio.
In ogni caso le rogne non e' detto che vengano necessariamente 
dall'esterno... :/


On Thu, 06 Jan 2000 14:38:55 GMT, Negro wrote
| Mi posso ritenere moderatamente sicuro (al meno al pari di un utente
| win) oppure dovrei fare altre modifiche controlli ecc.?
controlla /etc/host.allow e /etc/host.deny e, se proprio sei paranoide,
fatti un firewall (come ho fatto io) che blocca l'accesso al tuo comp...
Per il firewall pero` devi ricompilare il kernel e smanettare un po' con
ipchains (non e` complicato).
| sendmail (che mi pare accetti connessioni su una data porta) è un
| potenziale "pericolo" anche lui?
si, ci sono un po' di exploit... se lo usi come mail gateway per spedire la
posta offline e non vuoi rinunciare a questo, e` meglio che lo sostituisci
con postfix o qmail.
| C'è poi una cosa che non capisco: perché lasciare aperto un servizio
| telnet piuttosto che ftp o simili è pericoloso? 
Perche` da telnet e` piu` facile far casino... in ftp non puoi eseguire
comandi che non siano messi su dal root...
| perché devono essere
| ben configurati o comunque sono sempre una "falla"? i server che
| offrono servizi di questo tipo come fanno? sono costantemente a
| rischio?
Devono essere ben configurati per non essere a rischio, e` ovvio... anche se
la sicurezza assoluta e` possibile solo mettendo il pc in una cassaforte e
lasciandolo spento...
| quali log devo guardare e cosa devo cercare? devo aggiungere script o
| altri programmi per loggare un maggior numero di cose o cmq quello che
| l'eventuale hacker fa o tenta di fare viene già automaticamente
| loggato da qualche parte?
Di solito molti del log sono in /var/log quindi quello e` il primo posto
dove controllare... volendo puoi mettere altri logger, come l'iplogd, oppure
dei trigger in host.allow e host.deny....
-- 
 ____      ___              | 3/4 Romulan, 1/4 Vorta. | Ho imparato qualcosa
/_  / ___ / _/______ ___ _  | Stirred, not Shaked.    |  - Kintaro Oe	
 / /_/ -_) _/ __/ _ `/  ' \ | 
http://zefram.8m.com
    | Lasciate che i concetti 
/___/\__/_//_/  \_,_/_/_/_/ | 
zef...@iol.it
	      | fluiscano liberi - ZC
	      - Zefram is on a K6-166 - RH6.0 - Kernel 2.2.12 -

 tutti i file cancellati o cose del genere?
Forse IPlog, di Leonardo Serni ... Mi pare esiste una "Security-HOWTO",
prova a leggerla.
-- 
Giambo - Che disprezza Bill Gates e vuole che lui lo sappia >:->

 la tua macchina, entrare e fare casini :-)
Chi mai lo farebbe? ...
E poi, il login da root si può sempre disabilitare
Però è un po' triste avere un OS che offre dei servizi e disabilitarli
tutti. Certo per quello che faccio col server telnet ...  :)
--
CIAO!!!
Paolo 83 RE
XXXg...@freemail.it
 (remove XXX)
gher...@iname.com
 (text only)

 tutti. Certo per quello che faccio col server telnet ...  :)
Se non ti servono, tanto vale disabilitarli ...


precauzioni?
Come  prima misura  di sicurezza  potrebbe già  andare bene,  ma io  non
esiterei (così, "per  gradire") ad aggiungere anche  una bella regoletta
di ipchains che blocchi  le connessioni da una rete che  non sia la tua.
In questo modo dovresti essere in una  botte di ferro, a meno di beccare
un exploit nel kernel... cosa non proprio facile da trovare.
-- 
  _      ___ ____
 | | /| / (_)_  /
 | |/ |/ / / / /_	ANTI-SPAM WARNING:
 |__/|__/_/ /___/	the e-mail address is fake.
 
But if it's all the same to you, give me back my blue:
other colors fade anyway. (ChromaKey)

 Se non ti servono, tanto vale disabilitarli ...
Adesso uso ancora win, che come servizi offre solo un backdoor server e un
nuke server e non si possono disabilitare...

un exploit nel kernel... cosa non proprio facile da trovare.
Stavo leggendo che il kernel 2.2.12 è buggato dal punto di vista della
sicurezza. In università hanno sfruttato quest'exploit per intrufolarsi
in una macchina Linux. Hanno addirittura ottenuto i permessi di root per
cancellare i log !!! 
Tranne che logrotate (si chiama così ?) li ha beccati uguale.

un exploit nel kernel... cosa non proprio facile da trovare.
Ho installato ipchains, ma onestamente non so bene dove andare a
configurarlo!
Tieni presente che ho un'idea di come si configura un firewall, perché mi
ero messo di buzzo buono a imparare i rules di conseal e quindi un'idea di
cosa voglia dire tcp, icmp, porte etc. ce l'ho... mi basta solo sapere i
file da configurare!
Ho guardato i man ma ho trovato solo come impostare le regole, ma non
dove! =:-O


Al pari di un utente Win? ;DDD
spero anch'io che linux sia meglio, ma d'altra parte navigo con win da
tanto tempo, vado anche su irc, ecc. eppure non mi è mai successo
niente, a parte qualche "nuke" o piccole cose del genere. solo perché
nessuno ci ha mai provato? anche senza avere dei trojan che girano
possono entrare nel tuo sistema win, cancellarti file e cose simili?
invece sento dire che con linux se non si sta attenti un hacker con un
minimo di esperienza può in quattro e quattr'otto acquisire privilegi
di root sfruttando qualche buco che non hai chiuso...e non è bello!

tutti. Certo per quello che faccio col server telnet ...  :)
infatti...la penso così anch'io!
mi piacerebbe avere qualche servizio aperto... se uno non sa le
password degli utenti non può fare niente attraverso telnet?
si può creare un'account guest solo per gli accessi via telnet con
limitati permessi?
dove trovo ulteriori informazioni su come usare e configurare il
server telnet??
e quello ftp? è una cosa rischiosa avere un server ftp e comunicarlo a
qualcuno, per es. invece di inviare un file via icq o mirc dire a uno:
collegati al mio server ftp e scaricalo? è una cosa fattibile?
grazie ancora.

"sendmail:127.0.0.1", e in hosts.deny ALL:ALL.
io ho hosts.deny ALL:ALL
e hosts.allow ALL: localhost
il risultato è + o - lo stesso?
fra l'altro com'è che funzionano questi 2 file? in hosts.deny ci vanno
le "regole" e in hosts.allow le "eccezioni"? cioè hosts.allow ha la
precedenza in caso di settaggi discordanti?
mi spiego meglio:
hosts.deny:ALL:ALL vuol dire di negare tutto a chiunque, però poi
siccome c'è hosts.allow quest'ultimo ha la precedenza e da' il
permesso a determinati ip per determinati servizi?
la mia configurazione significa "nega tutto a tutti, ...però se è
localhost dai il permesso"?

permessi di root per cancellare i log !!!
Ehm... urg... #minchia!#
Se penso  che Pinguino Raggiante gira  su 2.2.10, quasi quasi  faccio un
upgrade. Ma che bug era, di preciso?
-- 
  _      ___ ____
 | | /| / (_)_  /
 | |/ |/ / / / /_	ANTI-SPAM WARNING:
 |__/|__/_/ /___/	the e-mail address is fake.
 
Sempre in forma ed informati con il confetto FAQ! (D. Alberani)

sicurezza. In università hanno sfruttato quest'exploit per intrufolarsi
Io ho il 2.2.13... posso respirare??? Comunque adesso ho installato
ipchains tanto per aumentare la sicurezza, ma devo capire come
configurarlo!


qualcuno, proverei per primo di sicuro "root". Poi il suo nome, cognome ecc.
Da me aspetti un pezzo, ho una fantasia malata e invento password
inesistenti, sono solo sequenze di caratteri non-senso create unicamente
con lo scopo di essere rapide da digitare sulla tastiera. :-))))
Cosě se anche mi trovo a dover inserire la password con gente vicina che
"curiosa", gli faccio saltare la retina!!! :-)))))


 collegati al mio server ftp e scaricalo? č una cosa fattibile?
Certamente, devi pero' comunicargli l'indirizzo IP che hai al momento (E
che ricavi con "ifconfig -f", sotto eth0).
-- 
Giambo - Che domani torna a Zurigo :-( !

è localhost dai il permesso"?
Sì: è così, e puoi trovare la conferma in man hosts_access. (-:
-- 
  _      ___ ____
 | | /| / (_)_  /
 | |/ |/ / / / /_	ANTI-SPAM WARNING:
 |__/|__/_/ /___/	the e-mail address is fake.
 
IT WORKS! I cant't believe it!
And they said an imitation diamond wasn't good enough... (Dr. Fred)


...man hosts.allow (comunque ci hai azzeccato).
Ciao,
-- 
Riccardo Tromba
(per rispondermi in mailbox, rimuovete NO e SPAM dall'indirizzo)
   Per pensare, scrivere, spedire questo messaggio
  non è stato necessario alcun software commerciale
--*     (-:   L I N U X : join & enjoy!   :-)     *--

che ricavi con "ifconfig -f", sotto eth0).
anche qui ci ero arrivato anch'io... ma per ulteriori info su come
configurare il server ftp, dirgli a quali dir accedere, impostare
password ... dove vado a vedere?


c'e' anche la lasg, linux administrator security guide

un exploit nel kernel... cosa non proprio facile da trovare.
qualcuno ha provato mason? il readme dice che si mette in ascolto per qualche
tempo per vedere che tipo di connessioni uno fa di solito, e poi lui ti imposta
ipchains. Funziona?

prova a leggerla.
L'IPlog di Serni e' proprio 'na figata.
Ciao, RobyZ

L'IPlog di Serni e' proprio 'na figata.
'ndo lo trovo?

On Sat, 8 Jan 2000 18:50:14 +0100, Crononauta wrote
| Ho installato ipchains, ma onestamente non so bene dove andare a
| configurarlo!
| Ho guardato i man ma ho trovato solo come impostare le regole, ma non
| dove! =:-O
Devi fare le regole da linea di comando, come questa:
/sbin/ipchains -A input -p tcp -d localhost 23 -j -l REJECT
rigetta la connessione sulla porta del telnet (e logga l'ip che ha fatto la
richiesta).
IPCHAINS-HOWTO per i dettagli...


funza il telnet!
Provalo, no? 
$ telnet localhost
Io ti consiglio di installare ssh (server + client) e andrai sul sicuro.
A quel punto non hai piu' neanche bisogno di ftp perche' ssh trasferisce
anche files.
-- 
 +-------------------------------------------+
 |        Enrico Bodo  -   PhD student       |
 |      University of Rome "La Sapienza"     |
 |          Department of Chemistry          |
 +-------------------------------------------+

Funziona?
Guarda, ti dico solo che l'ho provato sulla mia rete, e nell'uso normale
non mi sono accorto di un bel  niente. Appena ho tentato, in seguito, di
impostare un  nuovo routing sull'ethertap,  non funzionava un  cacchio e
non  capivo  perchè. Poi  mi  sono  ricordato  di aver  installato  quel
programma,  sono  andato a  vedere  le  ipchains, e...  sorpresa,  erano
impostate perfettamente  per lasciare libero  traffico sulla mia  rete e
impedire tutti  gli accessi esterni meno  che quelli di ftp  in modalità
attiva.
-- 
  _      ___ ____
 | | /| / (_)_  /
 | |/ |/ / / / /_	ANTI-SPAM WARNING:
 |__/|__/_/ /___/	the e-mail address is fake.
 
Se il cane e` il miglior amico dell'uomo, il pinguino e` di certo il miglior
amico del computer. (Wiz)

di root sfruttando qualche buco che non hai chiuso...e non è bello!
Mah, la mia esperienza è questa: a navigare con Linux non mi è mai successo
_niente_ (è vero però che uso solo http-ftp-mail&news). In compenso per un
bel po' ho tenuto "acceso" fakeBO... il numero di tentativi di connessione
via BO/Netbus è - a mio parere - impressionante... navigare con windows
non dev'essere mica una cosa tanto "sicura"... :-)


Tutti sono capaci di cianciare, altra cosa e' passare ai fatti.
Io vengo dal SILab, ora sono  in Bicocca il root dell'unico server Linux
che c'č, e  la situazione non č  molto migliore, anzi: a  parte la banda
che č  10 volte  tanto (per navigare  a gonfie vele  sui siti  porno), i
servizi  sono negati  praticamente tutti  tranne miracolosamente  mail e
news. Motivo:  sicurezza. Noi pinguini  non possiamo neanche  mandare la
posta fuori per  via delle protezioni anti-spam (come se  non si potesse
permettere il relay per un host).  Chi decide della sicurezza nelle reti
universitarie milanesi č di solito una gran testa di #######, e i nostri
sfigati sistemisti sono costretti ad obbedire. Senza contare che i pochi
servizi che lasciano  funzioneranno sě e no due giorni  a settimana, poi
per il resto gli switch (che noi  abbiamo bucato) si fanno i cavoli loro
e "routano" un po' dove gli pare meno che sui server.
-- 
  _      ___ ____
 | | /| / (_)_  /
 | |/ |/ / / / /_	ANTI-SPAM WARNING:
 |__/|__/_/ /___/	the e-mail address is fake.
 
Maybe I should write it first, and do the living later,
Life is so much cleaner on the page. (ChromaKey)

On 9 Jan 2000 13:13:01 GMT, Luciano Di Lucrezia wrote
Wiz, scusa se rompo un thread per nulla...
Mi diresti che addon usi per giustificare in questa maniera?
E` un'aggiunta di ViM, no?


Ma che bug era, di preciso?
Ti traduco velocemente il testo:
Matthew "Austin" Chapman
SysAdmin, Developer, Samba Team Member 
Mentre stavo facendo un po' di debugging ho scoperto un pericoloso bug 
veramente catastrofico nel kernel-2.2.12. Non ho controllato le versioni
precedenti al kernel 2.2, ma il bug sembra essere stato corretto nella
versione linux-2.2.13pre17.
Se lo stessi leggendo correttamente, le conseguenze di questo bug 
potrebbero essere tremende. Potrebbe essere possibile ottenere facilmente
i permessi di root su qualsiasi linux-box che faccia girare questo
kernel.
Fondamentalmente il problema è che l'execve system call controlla che
argv sia un puntatore valido, ma non controlla che tutti i puntatori
del vettore argv siano puntatori validi. Se passi dei puntatori non
validi all'execve system call puoi corrompere il processo di stack
prima che ritorni lo spazio in uso. Quindi quando il kernel rilascia
il processo all'elf loader può mandare in esecuzione del codice maligno
al posto della funzione principale del programma.
[...]
-ben
To:           BugTraq
Subject:      Re: execve bug linux-2.2.12
Date:         Fri Oct 15 1999 19:20:14
Author:       visi0n 
Whoa, penso che il kernel 2.0.38 abbia lo stesso bug, e un altro ancora,
nella funzione count() che controlla quanti argv's abbia il binario,  
non controlla il massimo numero di argv's. Questo è peggio del bug trovato 
in 2.2.12 execve(). 
[...]
Alan Cox
To:            BugTraq
Subject:       Re: execve bug linux-2.2.12
Date:          Sat Oct 16 1999 14:13:19
Author:        
secu...@xirr.com
 
Certamente sarei interessato ad un esempio che genera questo bug. Allora 
potrei supporre che ci sia un bug nel kernel o nelle glibc exec. La tua 
diagnosi della causa è comunque in dubbio. 
[cut]
Segue codice dimostrativo e la conclusione rimane dubbia.
Si intende che le versioni precedenti alla 2.2.13 sono buggate, ma 
l'exploit rimane in forse.

configurarlo!
Non penso che l'exploit possa interessare un utente connesso a InterNet
pochi minuti al giorno.
Il server Linux dell'Universitŕ č stato forzato dall'interno, cioč da un
computer (tra l'altro con Win95) di un laboratorio dei piani inferiori.

Message ID e Received (qua un bel po' di x al posto delle info) header.
Io non ho mai provato, ma un amico (massimo, se stai lurkando batti un
colpo) mi ha detto che bastava telnettare il server tin e dare HELO.

/sbin/ipchains -A input -p tcp -d localhost 23 -j -l REJECT
Ah ok grazie, mi basta questo!!! Per il resto tra porte e protocolli mi ci
trovo da solo!! :-)
Grazie.


non dev'essere mica una cosa tanto "sicura"... :-)
Anch'io ho notato che sono parecchi i frollocconi che tentano di
penetrare nel tuo sistema tramite BO e Netbus, specie quando uso
irc... per questa ragione ho, seguendo un articolo che era apparso
sul pluto journal, fatto in modo che se uno tenta di usare BO
Linux mi segnala la cosa con un "click" udibile dallo speaker del
PC... non ti dico che scampanii che si sente quando vado a
chattare :)))
p.s. quando ho voglia di perdere un pò di tempo rintraccio il nick
     del "mona" che ha tentato di farmi lo scherzetto (basta dare
     il comando "/who n° ip" in irc), fatto questo gli lancio una
     query e gli dico che faccio parte di un'ipotetica "squadra
     contro contro i crimini informatici" e mi diverto a vedere
     le reazioni del "mona"... è divertente: da provare! :-)
-- 
Vanni Brutto
| email 
asy...@nofesso.tiscalinet.it
 |
| irc nick VanniB   |   ICQ 18526701 |
--- rimuovi nofesso per rispondere ---

sfigati sistemisti sono costretti ad obbedire.
Ahhh, parole sante, niente da dire.
Io ho fatto la cazzata di andare a Milano (perche' non si tratta solo di
lab., ma anche di certi "assurdi" insegnanti, anche se per essere onesti
bisogna dire che questa e' una situazione prettamente italica) solo
perche' all'estero, dove voglio andare io, richiedono, per quanto
riguarda la laurea d'informatica, solo Milano e Pisa, altrimenti me ne
andavo a Padova o Verona, facolta' che, ti assicuro, sono anni luce
(soprattutto Padova) piu' avanti delle milanesi (non ho verificato il
polo di Crema).
Ciao, RobyZ



'ndo lo trovi?  :-)
Qua: 
http://www.linuxvalley.com/~lserni/iplogd.html
Ciao, RobyZ

 password ... dove vado a vedere?
Hmmm ... Prova a sbirciare in /usr/doc/packages/wuftpd/ ...
-- 
                                                                     __
 __                                                              _  ///
| _        Student in Computer Science, Swiss Federal Institute  \\///
|__|iambo      of Technology - mailto:
ggia...@iiic.ethz.ch
       \X/

computer (tra l'altro con Win95) di un laboratorio dei piani inferiori.
Vabbé, ma io sono un fobico della sicurezza, eppoi già che ci sono vorrei
imparare quel che serve, mettiamo caso che un giorno mi trovi a mettere in
piedi una rete... non vorrei che me la bucassero da tutte le parti!
Tutto quel che si impara, beh, tanto meglio, no? :-)






ma cosa serve se mi hai appena detto che tanto un utente remoto non
può scrivere sulla mia X-session ?
e soprattutto: non me ne frega niente di netscape, era solo un
esempio. dovrei assegnare a qualche gruppo centinaia di eseguibili che
non voglio vengano eseguiti da utenti remoti?
grazie comunque delle info

 vengano eseguiti da utenti remoti?
Quando crei un'utente, lo assegni al gruppo "remoto" e lui non potra'
eseguire i files che A) non appartengono al suo gruppo B) non hanno la "x"
settata a "all".
Solitamente le distribuzioni sono fatte in modo che chiunque (Qualsiasi
appartenente a qualsiasi gruppo) puo' eseguire certi programmi "sicuri",
come per esempio FTP e telnet (Solitamente sono posizionati in /usr/bin).
Poi e' TUO compito, come amministratore del sistema, decidere se creare
nuovi gruppi e come gestirli.


Secondo me la cosa più semplice ed efficace da fare è questa:
1)in /etc/inetd.conf ELIMINA (commenta con #) tutti i servizi che non ti
  interessano; io come utente dialup di internet ho lasciato solo TALK, NTALK,
  e AUTH.
2) In /etc/hosts.allow scrivi le regole SOLO per quei servizi che hai
   abilitato in inetd.conf.
3) In /etc/hosts.deny scrivi la seguente riga: ALL : ALL@ALL
In questo modo nessuno potrà accedere al tuo sistema tramite telnet, etc..,
poichè tali servizi sono *disabilitati*: inoltre, in hosts.deny proibisci l'uso
a tutti gli utenti di tutti i servizi non esplicitamente autorizzati in
hosts.allow.
Poi, se vuoi che vengano registrati i tentativi di connessione alla tua
macchina puoi fare così:
4) Aggiungi le seguenti righe in /etc/inetd.conf:
ftp        stream	tcp	nowait	root	/usr/sbin/tcpd	fake.FTP
telnet    stream    tcp 	nowait  root       /usr/sbin/tcpd   fake.TELNET
...
Così facendo non rischi nulla, infatti nessuno riuscirà a connettersi alla tua
macchina tramite il demone "fake.TELNET"... perchè NON ESISTE !
Però se guardi in /var/log/secure troverai:
Jan 19 13:50:19 localhost fake.TELNET[688]:refused connect from 
hac...@host.com
Lorenzo

 l'HD. Dovresti settare una "quota".
Ma è veramente necessario installare Quota nel kernel??
a me se lo tolgo si rifiuta di montarmi il file system di root e si blocca!!
:-((
--
Alkaid
alk...@tiscalinet.it

 a me se lo tolgo si rifiuta di montarmi il file system di root e si blocca!!
Non e' che assieme a Quota togli pure il supporto per ext2 :-) ?
