Newsgroup: it.comp.os.linux.sys
Titolo: Urgentissimo!! Impossibile eseguire login

Ciao ragazzi,
ho un server Linux RH9.0 sul quale all'improvviso mi viene rifiutato
il login al prompt.
O meglio, digito il nome utente (qualsiasi compreso root) e nn mi
viene chiesta nemmeno la password.Torna immediatamente la richiesta di
login.
Fortunatamente riesco ad entrare sull'interfaccia grafica anche se ho
dovuto forzare il cambio della passwd di root per farmi accettare dal
sistema..
Non sono state fatte modifiche sul server, l'unica cosa sono stati
eseguite alcune connessioni remote via SSH.
Qualcuno ci capisce qualcosa???
Grazie a tutti

 Qualcuno ci capisce qualcosa???
da chi ?
non è che ti hanno spianato la macchina ?
-- 
Se il denaro non puo' comprare la felicita', la puo' comunque prendere
in affitto.

 Qualcuno ci capisce qualcosa???
Al 99,99% ti hanno bucato ssh, che su una rh9.0 e' piuttosto vecchiotto.
Spegni la macchina, se puoi copia il disco per analizzarlo,
spiana tutto e reinstalla qualcosa di piu' recente.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 login.
Giusto per provare, potresti entrarci in single user mode.
Probabilmente manca login,ergo qualcuno e' entrato sulla tua macchina,
e ha combinato casini.
Tanti auguri.


ok, messaggio ricevuto..forse mi hanno ciuffato...ma a parte dirmi di
spianare, altre soluzioni ??
cmq penso che se fosse cosi sono stati troppo veloci!!. Inoltre su
questa rete è presente un firewall hardware..
proverò a verificare i log di accesso sul firewall.
Il server cmq funziona correttamente.
Grazie cmq

 Grazie cmq
Prego.
-- 
Son giunto alla conclusione che, almeno una volta nella vita, bisogna
usare Windows a fondo, perche' e' un'esperienza che rende uomini.
Almeno, io, dopo, ho sempre due palle cosi'.
                                                            Leonardo 
Serni

 questa rete è presente un firewall hardware..
Beh, il firewall non ha i POTERI(TM): se e' configurato per lasciar passare 
le connessioni sulla 22, lascera' passare le connessioni sulla 22. Chi si 
connetta, e cosa invii, il firewall questo non lo sa.
Percui, se la macchina ha problemi qualcuno ha fatto qualcosa: se sia stato 
un errore di sbaglio o un'intrusione volontaria, ho la sfera di cristallo a 
riparare quindi non te lo saprei dire, pero' io seguirei il metodo Serni: 
anzitutto via la spina - e intendo proprio via la spina. Poi si fa 
un'analisi post-mortem, off-line, e si vede se c'e' qualcosa di strano.
Comunque sia, io, per non saper ne' leggere ne' scrivere, recupererei solo i 
dati e metterei su una macchina nuova, magari con una distro un pelo piu' 
aggiornata (personalmente consiglio debian - o una derivata - ma il mondo e' 
pieno di ottime distro recenti).
Ciaotutti,
*

 spianare, altre soluzioni ??
Spianare *è* la soluzione
Ciao
Zelo

 typed:

Ok. Supponendo che siano entrati. La password di root l'hanno trovata
così facilmente??
Scusate la banalità ma non mi è mai capitato...c'è sempre la prima
volta
Grazie ancora

 
A me vengono in mente un paio di semplici metodi alternativi alla scoperta della 
pw di root:
1) qualche demone che gira come root (prendendone il controllo giri a tutti gli 
effetti come root)
2) Scalatura dei permessi (prendi il controllo di un demone, quale ssh o httpd, 
e sfruttando varie vulnerabilità, riesci ad ottenere i diritti di root)
Non sono semplici (lo sono a livello concettuale, un po' meno a livello di 
implentazione), e l'unico modo per proteggersi è quello di installare gli 
aggiornamenti di sicurezza che vengono rilasciati quando i bachi vengono scoperti.
Una macchina RH9.0 è effettivamente un po' vecchiotta, quindi presenta con buona 
probabilità sw dello stesso periodo, con vulnerabilità conosciute.
Un cracker vede le caratteristiche del tuo sistema (ad esempio nella firma del 
server http quando restituisce un 404 o un altro errore) in termini di distro, 
versione del sw installato, fa 2+2 e mette in pratica gli exploit per quelle 
versioni sperando che il sw non sia stato aggiornato.
A volte lo trovano non aggiornato.
Il fatto di beccare te e non un altro, va un po' a sfortuna ^_^
Luca

 Il server cmq funziona correttamente.
"Tu" credi che funzioni correttamente.
Forse lo fa.
Forse funziona ancora meglio di prima, ma non per i _tuoi_ interessi.


 VanniPwrote:

Certo che se certa gente passasse più tempo a gnocca avrebbe meno
tempo per rompere le palle a gente che lavora, vero genio??
Grazie comunque.

 VanniPwrote:

Grazie per le indicazioni Luca. Quello degli hackers è un settore
piuttosto oscuro per me e forse piuttosto ingenuamente non ho preso le
dovute precauzioni.Cercherò di attrezzarmi.
A presto e grazie ancora

 tempo per rompere le palle a gente che lavora, vero genio??
Rompere le palle a gente che lavora?
Qui quello che e' stato bucato per incompetenza (o incuria) sei tu,
o sono io che ti ho rotto le palle provocandoti falsi allarmismi?
Indovina chi e' il genio, tra i due?
E se lo fai per lavoro, come sembra di capire, sono ancora piu'
preoccupato di prima, altro che rompere le palle.
Ah, gia' che siamo in tema di passare il tempo in attivita' ludiche,
perche' invece che gestire macchine da far bucare non impari a quotare?
http://snipurl.com/axt4


 perche' invece che gestire macchine da far bucare non impari a quotare?
http://snipurl.com/axt4
Inutile ma apprezzo il consiglio.
Allora dai, vediamo se sei veram tosto, tirami fuori una soluzione.
Parliamo di un server aziendale con una marea di cartelle e permessi
dir e utenti già assegnati ecc ecc. dovrei spianare tutto per una cosa
che forse non mi compromette il lavoro degli utenti. Vabbè supponendo
che il sistema sia stato violato (anche se non penso) la macchina
lavora solo come file server Samba, tutto il resto non mi interessa.
Riesco a loggarmi su Xserver e tramite le sessioni terminal riesco a
controllare il sistema. Ho verificato il file '/etc/login'; ha
permessi rwxr-xr-x ma risulta avere come owner=serverw2k della rete e
group=machines. Tieni presente che serverw2k è il nome dell'altro
server della rete. Ovviamente essendone proprietario non riesco a fare
nulla sul file login (cambio owner,group e permessi). Penso che se
riuscissi a rimettere owner e group = root forse sistemo la
questione.
Cosa ne pensi fenomeno? (magari tifi per Ronaldo)
Grazie


...scusa, /bin/login ...

 Non mi riferivo direttamente a te ma se ti senti coinvolto allora ...
Ah, non so, il post lo hai fatto rispondendo al mio, fenomeno.
Tu cosa avresti capito?
Comunque, non vuoi spianare la macchina?
Nessun problema, i rischi sono tuoi, basta che mi dici in che subnet
ricadi, che provvedo a tagliarla dalla visibilita' delle mie macchine.


 Cosa ne pensi fenomeno?
Che la differenza tra un professionista e uno che ci si atteggia non e' nel
subire o meno una violazione (come dice Spafford dall'alto della sua deita',
il problema non e' se, ma quando), ma come si reagisce alla stessa.
-- 
Per rispondermi, sostituisci a nomecognome il mio nome e cognome
To reply me, substitute nomecognome with my real name and surname

 ricadi, che provvedo a tagliarla dalla visibilita' delle mie macchine.
Ok non mi aiuti.
Scusa se ti sei offeso però penso che un più di umiltà non
guasterebbe, non tutti sono bravi come probabilmente sei tu.
Se poi lo glielo fai anche pesare...
Beh, stammi bene, spero non ti 'buchino' mai, almeno in termini
informatici....

 il problema non e' se, ma quando), ma come si reagisce alla stessa.
Ok hai ragione.
Adesso, oltre a spianare cosa faresti ??

 informatici....
E chi ti ha detto che non sia gia' successo?
E la reazione e' proprio quella:
Bestemmioni, reinstallazione, restore dai backup, firewall MOLTO
piu' stretto, e analisi di cosa e' successo per evitare che risucceda.
E guarda caso, era una RH non installata e gestita da me, con un ssh
bacato e abusabile.


 Adesso, oltre a spianare cosa faresti ??
Se non vuoi spianare, l'unica alternativa e` staccare il disco, attaccarlo
a una macchina fuori rete sicuramente pulita, magari con una live su cd
che non puo` essere intaccata da eventuali trojan, e analizzare file per
file se i permessi sono a posto e se ci sono eseguibili o daemon nascosti
da qualche parte.
Secondo me stai prima a spianare.
Bye.

Cosa  ne pensi fenomeno? (magari tifi per Ronaldo)
Finale veramente notevole..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Finagle's fourth Law:
	Once a job is fouled up, anything done to improve it only makes
it worse.

 Adesso, oltre a spianare cosa faresti ??
A parte il tempo perso a rimettere su il tutto, cos'ha che non va lo
spianare e reinstallare?
Enrico

 ...scusa, /bin/login ...
... o.. /bin/laden ... :-D
-- 
Gli imbroglioni, talmente furbi da farti passare per rincoglionito
I rincoglioniti, talmante stupidi da farti passare per imbroglione