Newsgroup: it.comp.os.linux.iniziare
Titolo: sono stato bucato

Questo è il continuo del 3ad "librerie danneggiate"...
Riassumo: da un comportamento strano della macchina stavo immaginando
alle librerie danneggiate.
Per approssimazione successive ho scoperto che in verità sono stato
bucato, il 1°Ottobre, dalla Romania.
Con chkrootkit ho trovato poca roba, non molto di più di quello che già
sapevo.
Checking `basename'... INFECTED
Checking `sniffer'... eth0: PROMISC
io ho trovato questo, invece:
-rwxr-xr-x  1 nobody nobody 13236 Oct 15 20:46 /var/tmp/ex
-rw-------  1 502 users  17982 Apr  1  2001 /var/tmp/.ssh/COPYING
-rw-------  1 502 users   3681 Apr  1  2001 /var/tmp/.ssh/README
-rw-------  1 502 users  28116 Apr  1  2001 /var/tmp/.ssh/VERSIONS
-rwx------  1 502 users    942 Apr  1  2001 /var/tmp/.ssh/checkmech
drwx------  3 502 users   4096 Apr  1  2001 /var/tmp/.ssh/contrib
-rwx------  1 502 users 141164 Oct 15 20:56 /var/tmp/.ssh/crond
-rw-r--r--  1 502 users    177 Oct 15 20:56 /var/tmp/.ssh/emech.user1
-rw-r--r--  1 502 users    177 Oct 15 20:56 /var/tmp/.ssh/emech.user2
-rw-------  1 502 users  23428 Apr  1  2001 /var/tmp/.ssh/mech.help
-rw-r--r--  1 502 users   1015 Oct 15 20:56 /var/tmp/.ssh/mech.levels
-rw-------  1 502 users      5 Oct  9 21:47 /var/tmp/.ssh/mech.pid
-rw-r--r--  1 502 users    728 Oct 15 20:56 /var/tmp/.ssh/mech.session
drwx------  2 502 users   4096 Jun  2 20:32 /var/tmp/.ssh/randfiles
# more /var/lib/nobody/.bash_history
passwd
cd /var/tmp
cd .ssh
ls
ps -aux
export PATH=.
crond
cd ..
ls
./ex 2
./ex 4
Ovviamente ho subito provveduto a killare crond
# last nobody
nobody  81.180.167.90    Sun Oct  9 21:46 - 21:47  (00:01) ROMANIA
nobody  81.180.167.90    Sat Oct  1 20:11 - 20:16  (00:05) ROMANIA
[...]
nobody  81.180.167.90    Sat Oct  1 10:51 - 11:28  (00:37) ROMANIA
nobody  81.180.167.90    Sat Oct  1 10:16 - 10:47  (00:30) ROMANIA
nobody  220.110.172.194  Sat Oct  1 10:15 - 10:26  (00:10) GIAPPONE
nobody  212.177.133.16   Fri Sep 23 12:44 - 12:44  (00:00) ROMA
da 81.180.167.90 ho avuto diverse connessioni il 1°Ott, il 9 ho fatto il
reboot (l'8 ho riscontrato anomalie e non capivo cos'era).
Ho scoperto il 12Ott per caso che nobody aveva come shell /bin/bash (ed
oggi ho ricordato il perchè).
Dal messages ho scoperto che avevo un attacco:
sshd[11829]: Failed password for illegal user httpd from 220.110.172.194
sshd[11831]: Accepted password for nobody from 220.110.172.194
sshd[11857]: Failed password for root from 220.110.172.194
In pratica ha provato a vedere con quale utente sarebbe potuto entrare,
prendendo quelli che di solito sono presenti in un sistema, fino a
trovare nobody come valido.
81.180.167.90 è andato solo su nobody a colpo sicuro
Oct  1 11:22:08 sshd[13373]: reverse mapping checking getaddrinfo for
81-180-167-90.it4web.ro
 failed - POSSIBLE BREAKIN ATTEMPT!
Oct  1 11:22:11 sshd[13373]: error: PAM: Authentication failure
Oct  1 11:22:14 sshd[13373]: Accepted password for nobody from
::ffff:81.180.167.90 port 1594 ssh2
Oct 1 10:26:49 su: (to root) nobody on /dev/pts/1
Oct 1 10:26:49 su: pam_unix2: session started for user root, service su
Oct 1 10:47:25 su: pam_unix2: session finished for user root, service su
Si, è stato un errore che nobody avesse una shell valida (l'avevo messa
per un esperimento ed ho dimenticato di toglierla).
Però la password (anche quella valida) andava azzeccata.
E se anche quella andava azzeccata si doveva indovinare anche la
password di root (e contiene simboli, minuscole, maiuscole)
Ho il backup giornaliero della macchina, così posso fare tutti i
confronti del caso.
Matteo
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 password di root (e contiene simboli, minuscole, maiuscole)
Mah.. io non è che sia troppo esperto di sicurezza, quindi non so se ha
avuto solo culo o cosa..
Comunque, per il futuro, blinda il login su ssh ad un solo utente (o al
massimo ad uno specifico gruppo nel quale poi inserirari gli utenti..).
Ciao.
-- 
*** Linux user # 198661 --- ICQ 33500725 ***
***  Home  
http://web.tiscali.it/kailed
  ***
       ***  Powered by SuSeLinux  ***

 per un esperimento ed ho dimenticato di toglierla).
 Che versione di ssh avevi ? 
 Lo sai che le vecchie versioni erano bucabili?
-- 
echo 152079117477642780034933529998195782666P | dc

  Lo sai che le vecchie versioni erano bucabili?
# ssh -V
OpenSSH_3.8p1, SSH protocols 1.5/2.0, OpenSSL 0.9.7d 17 Mar 2004
Credo che posso considerarla sufficentemente aggiornata.
Se non erro grandi bug di sicurezza sono precedenti a tale versione (al
lavoro abbiamo fatto una faticaccia ad aggiornare tutti i server Solaris
a questa versione, e per ora lo utilizziamo come standard).
Mi stava venendo in mente un bug:
Io ho l'ssh e l'ftp (vsftp) in piedi su questo server.
Il primo fa passare le password criptate, il secondo in chiaro.
A che mi serve far passare le password in chiaro se poi uno mi può 
sniffare la login dell'ftp per poi utilizzarla con l'ssh?
E' possibile utilizzare, per uno stesso utente, una password per l'ssh
ed
una per l'ftp (con vsftp oppure un altro)? utilizzando qualcosa tipo 
shadow per l'ssh e shadow.ftp, o altro, p.e.
Per ora ho limitato l'accesso ssh a due soli utenti, e ho dato la
possibilità di fare 'su' solo a loro



 
 Anche OpenSSH ha i suoi exploit
Xsearch engine for ExploitTree v0.2
 KeyWord> OpenSSH
 
1334:OpenSSH UseLogin Vulnerability:
1949:OpenSSH Client Unauthorized Remote Forwarding Vulnerability:
2356:OpenSSH Private Key Authentication Check Vulnerability:
2825:OpenSSH Client X11 Forwarding Cookie Removal File Symbolic Link Vulnerability:
2917:OpenSSH PAM Session Evasion Vulnerability:
3345:OpenSSH SFTP Command Restriction Bypassing Vulnerability:
3369:OpenSSH Key Based Source IP Access Control Bypass Vulnerability:
3560:OpenSSH Kerberos Arbitrary Privilege Elevation Vulnerability:
3614:OpenSSH UseLogin Environment Variable Passing Vulnerability:
4241:OpenSSH Channel Code Off-By-One Vulnerability:osshchan.tgz
4560:OpenSSH Kerberos 4 TGT/AFS Token Buffer Overflow Vulnerability:tgt-x86linux.tar
5093:OpenSSH Challenge-Response Buffer Overflow Vulnerabilities:openssh3.1obsdexp.txt
5093:OpenSSH Challenge-Response Buffer Overflow Vulnerabilities:sshutup-theo.tar.gz
5374:OpenSSH Trojan Horse Vulnerability:
6168:OpenSSH Visible Password Vulnerability:
7343:OpenSSH Authentication Execution Path Timing Information Leakage Weakness:
7467:OpenSSH-portable Enabled PAM Delay Information Disclosure Vulnerability:ssh_brute.c
7467:OpenSSH-portable Enabled PAM Delay Information Disclosure Vulnerability:gossh.sh
7482:OpenSSH Remote Root Authentication Timing Side-Channel Weakness:
7831:OpenSSH Reverse DNS Lookup Access Control Bypass Vulnerability:
8628:OpenSSH Buffer Mismanagement Vulnerabilities:
8677:Multiple Portable OpenSSH PAM Vulnerabilities:
9040:OpenSSH PAM Conversation Memory Scrubbing Weakness:
9986:OpenSSH SCP Client File Corruption Vulnerability:
Hai fatto regolarmente i security updates ?
-- 
echo 152079117477642780034933529998195782666P | dc

 Credo che posso considerarla sufficentemente aggiornata.
mah ...
openssl  openssl-0.9.7h.tar.gz verso il 13/ott, vabbe .. ma c'e' anche 
la 7g del 18/04/2005 :|
openssh idem ...
tanto aggiornata non mi pareva .. e per di più in quei servizi critici, 
  openssl + openssh :|
togliere del tutto le password e loggarsi con i certificati / key di 
openssh ?

 openssh ?
Però così, nonostante non riusciranno ad entrare, bug a parte, mi ritrovo
uno "spam" nei messages, pieno di tentativi. Una idea sarebbe anche la
chiusura a macaddress.
Forse tagliamo la testa al toro e chiudiamo l'ssh dall'esterno.
Quando devo fare manutenzione vado in sede, e se mi serve da fuori apro, mi
loggo, chiudo.
Al momento comunque ho abilitato l'ssh per due soli utenti.
Stavo pensando anche ad un'altra soluzione che ho visto che ha applicato uno
su una ML.
Lui ha fatto uno script che continuamente (ogni tot tempo) controlla se il
portatile da cui si debba connettere è acceso. In tal caso tenta di
lanciare una connessione, tramite scambio certificati, server --> portatile
per stabilire un tunnel ssh.
Se la connessione avviene sul portatile si apre una porta scelta (p.e.
2222), bindata su localhost. Sul portatile do ssh -p 2222 localhost, ed
ecco che mi sono connesso al server. Il tutto senza dover aprire alcuna
porta sul router. 
Purtroppo rimane l'ftp (anche se aperto per un solo utente, che non ha shell
valida per login) e l'http. 
Tempo fa stavo mettendo sendmail, visto ho un dominio e non lo sto
sfruttando per niente come server di posta, ma visto l'accaduto credo che
continuerò a non sfruttarlo (anche perchè non so anco BEN configurarlo per
evitare spam, come già successomi in passato su un altro server, in cui
usavano la mia macchina per mandare 1Gb di mail al giorno).
Matteo