Newsgroup: it.comp.os.linux.iniziare
Titolo: HELP sistema bucato?

Ciao a tutti...
stamani la mia debian mi ha segnalato che la eth0 (WAN) è entrata ed uscita 
dalla modalita "promisqued mode" più volte...
Cosa posso fare?
Sarei intenzionato a formattare tutto...
:-(

 re-installare da capo senza tappare il buco e' inutile.
Infatti, hai ragione ne preparo un altra, nel frattempo però questa macchina 
"bucata" non la formatto, gli do un occhiata per capire che caspio è 
successo..
A mente fredda però devo dire che è successo dopo avere eseguito gli update 
della cache con aptitude, gli orari corrispondono.
Davide, cosa mi consigli di guardare SUBITO oltre ai classici LOG (che 
potrebbero essere stati rimossi)? 

 potrebbero essere stati rimossi)? 
la history di root per vedere se qualcuno ha lanciato tcpdump, o stat
`which ethereal` per lo stesso motivo, potrebbero essere indice del
fatto che non e' niente di strano.
ciao,
--
oggei

grazie a tutti
inizio a verificare.. 

xer ha scritto:


non sono assolutamente un esperto, questo è quello che proverei a fare:
1) staccare il cavo di rete
2) clonare l'hd compromesso utilizzando una live distro come knoppix
(attenzione che knoppix se trova uno swap lo monta e quindi va a scrivere
sull'hd così alterandolo, quindi occorre farlo partire con l'opzione
"noswap" come cheatcode)
il comando per creare una immagine del disco hda in un file sul disco hdb1
è questo (sudo è necessario su knoppix):
sudo dd if=/dev/hda of=/mnt/hdb1/hda_drive_image.img
per montare il file immagine se il filesystem è ext2:
sudo mount -o loop -t ext2 /mnt/hdb1/hda_drive_image.img /mnt/temp
3) a questo punto si possono fare tutte le analisi forensiche del caso sul
disco clonato, con lo scopo di capire come il disco originale sia stato
compromesso ed evitare dopo formattazione e reistallazione di riesporsi
con la medesima vulnerabilità. Questa è certmante la cosa più difficile da
fare, occorre essere esperti, comunque alcune informazioni le trovi qui:
http://www.cert.org/
 . 
Esiste un tool che dicono sia molto buono per queste cose, grave-robber
del TCT (The Corner's Toolkit): 
http://www.porcupine.org/forensics/tct.html
-- 
Carlo Fusco
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

"Carlo Fusco"  ha scritto..
Grazie Carlo, molto interessante il link che mi hai fornito...
Comunque..dal comando "last" l'unico collegato ero io, in pratica quando la 
eth0 č passata in promisque mode, io ero collegato da rete interna con 
SSH...
poi, dal file History di root ci sono soli i miei ultimi comandi...
l'ultimo file cambiato risale al 18 maggio e non ad oggi..
a quanto pare non sembra essere successo niente...
forse sarą dovuto ai problemi di connettivitą del mio ISP di questi giorni? 
in pratica la connettivitą andava e veniva a singhiozzo...
o forse perchč uno dei tecnici dell'ISP era dento il router per le 
verifiche? (non ho accesso al router infatti)
queste sono le segnalazioni:
**********
Jul 28 11:41:11 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:41:11 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:41:30 debian kernel: device eth0 left promiscuous mode
Jul 28 11:41:30 debian kernel: device eth0 left promiscuous mode
Jul 28 11:41:43 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:41:43 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:41:47 debian kernel: device eth0 left promiscuous mode
Jul 28 11:41:47 debian kernel: device eth0 left promiscuous mode
Jul 28 11:52:22 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:52:22 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:53:18 debian kernel: device eth0 left promiscuous mode
Jul 28 11:53:18 debian kernel: device eth0 left promiscuous mode
Jul 28 11:54:33 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:54:33 debian kernel: device eth0 entered promiscuous mode
Jul 28 11:55:05 debian kernel: device eth0 left promiscuous mode
Jul 28 11:55:05 debian kernel: device eth0 left promiscuous mode
***********
Alla stessa identica ora, il tecnico apportava la sostituzione della 
"piastra" in centrale ed ha effettuato poi le verifiche al router...
per adesso gli unici eventi che mi segnala la debian sono i seguenti:
**********
Jul 28 16:35:05 debian kernel: ip_tables: (C) 2000-2002 Netfilter core team
Jul 28 16:35:05 debian kernel: ip_conntrack version 2.1 (639 buckets, 5112 
max) - 296 bytes per conntrack
Jul 28 16:35:05 debian kernel: ip_tables: (C) 2000-2002 Netfilter core team
Jul 28 16:35:05 debian kernel: ip_conntrack version 2.1 (639 buckets, 5112 
max) - 296 bytes per conntrack
**********
cosa ne pensate?

 cosa ne pensate?
che hai usato tcpdump o simili e non te ne ricordi :)
ciao,
--
oggei

 che hai usato tcpdump o simili e non te ne ricordi :)
Ciao Ale, no credimi e poi non so cos'è TCDUMP
:-(

 che hai usato tcpdump o simili e non te ne ricordi :)
Porco mondo!
Avevi ragione!!!!
Ho usato il nuovo ed aggiornato "ngrep"...
Che memoria del cacio che ho!
:-(
Eppure sfoglianfo l'history, l'ho visto ma non me ne sono reso conto..
pardon ma grazie!
:-)