Newsgroup: it.comp.os.linux.iniziare
Titolo: Sito web "rallentato" : manomissione?

Salve, ho messo su un server Linux RedHat 7.2, ed oggi ho notato che il
caricamento delle immagini (anche accedendo dalla LAN) č molto lento, come
pure lenta č la risposta quando cerco di fare telnet sul server (sempre
dalla LAN)...
Passano svariati secondi prima di caricare TUTTA la pagina (viene caricata
in 2 tempi, prima le scritte ed alcune immagini, poi il resto delle gif). Ho
paura che ci sia stao un altro smanettamento remoto...
Inoltre non funziona piů l'ftp...
Cosa ne pensate???
--
http://serverrik.d2g.com/
 annunci gratuiti HW usato
"Un genio si riconosce dal fatto che
tutti gli ignoranti gli vanno contro."
T.S.Elliot

...inoltre ho visto che stanotte ci sono stati dei "restart" remoti del
sistema, come č possibile???

Non è che sono riusciti a dare svariati restart al mio server e,
approfittando della lentezza nel caricare il SO (è un povero Pentium 200)
hanno approfittato di lui in qualche modo? Come posso controllare i log
(alcuni, più recenti, sono stati portati a 0 Kb...)
Grazie,
Rik

 sistema, come è possibile???
Puzza alquanto... cmq loggati su quella macchina e fai top per vedere che
programmi stanno girando. Gia' che ci sei fai un buon controllo su porte
aperte/programmi in listen/rootkit/backdoor
Ciao
  Andrea


Ciao Andrea, per non saper ne leggere ne scrivere ho deciso di formattare e
reinstallare, tanto il sever e l'annesso sito ospitato sono esplicitamente
sperimentali...
Più che altro mi incuriosisce come sia possibile avere accesso al sistema in
modo cosi' "distruttivo"... RedHat 7.2 era aggiornatissimo, il server sta
dietro ad un router con NAT e poche porte aperte (quelle necessarie)... Dove
potrei aver toppato?
Grazie,
Rik

 (alcuni, piů recenti, sono stati portati a 0 Kb...)
Premessa: tutto e' IMHO, e anche un po' paranoico.
Non e' che io sia un esperto in materia, e non vorrei allarmarti
inutilmente ma... un log portato a 0k io lo vedo come un modo (piuttosto
brutale, invero) di cancellare le tracce di qualche malefatta.
Inutile dire che se sono riusciti a cancellare i log hanno avuto anche
l'accesso come root. In questo caso direi che hanno anche installato un
rootkit. Se avevi installato tripwire o simili puoi controllare che sia
tutto a posto. Se non lo hai fatto puoi provare con chkrootkit, ma non so
fino a che punto sia affidabile.
La soluzione perfetta sarebbe di formattare tutto, reinstallare e cambiare
tutte le password.
Se hai un altro computer a disposizione puoi usare quello per vedere se il
computer ha dei comportamenti strani, controllando cosa entra e cosa esce e
vedendo se c'e' qualcosa che non va.
Magari puoi chiedere meglio su it.comp.sicurezza.unix
Ciao
  Andrea

 
l'argomento penso andrebbe affrontato in un ng tipo *.sicurezza, cmq tanto 
per rispondere in generale...
Non puoi mai essere sicuro della sicurezza di un computer, anche se ci hai 
montato davanti un muro informatico spesso 5 metri (penso l'unico modo per 
essere sicuri al 100% si di non connettersi :), aspetto smentite). Una cosa 
che mi colpi' molto fu leggere in giro per es. di un bug in netfilter di 
una certa entita', che permetteva un DoS (era un bug nella gestione dei SYN 
cookies, corretto alla 2.4.16 se non erro), insomma, non puoi neanche dire 
"ho un firewall, chi mi puo' toccare?". Non esiste il 100% della sicurezza, 
l'unica cosa e' avvicinarcisi il + possibile (almeno da evitare gli 
script-kiddies, molto fastidiosi)
Giulio Prina Ricotti
-- 
PGP Key fingerprint = 1A94 043F 1946 7AA9 CB2E  D5ED F83D 2083 25B4 2E27

 potrei aver toppato?
Se il server era veramente aggiornato non saprei[*]... come ho detto, non sono
un grande esperto in materia...
[*] a parte una password di root (o di qualche utente con abbastanza
permessi) banale, ma spero che non sia il tuo caso...
Ciao
  Andrea