Newsgroup: it.comp.os.linux.sys
Titolo: Aiuto Probabile server violato

Buon giorno a tutti,
E' la seconda volta che spariscono i file di log da un server web con
apache, mysql. questo server e' Debian Woody aggiornato constantamente.
La prima volta erano spariti solo i file di log di mysql e apache, e li'
per li' avevo pensato a un impazzimento di syslog, ho ripristinato le
directory, fatto qualche controllo e avevo notato che cera in esecuzione 
questo ./uselib24, ma dato che sono un c*****e non gli dato troppa
importanza. Questa mattina e' successo nuovamente, ma in maniera piu'
grave, manca tutta la drieactory dei log, quindi addio analisi dei log!In
oltre cercando uselib24 l'ho trovata in ./tmp/.bashrc/uselib24 ed e'
eseguita da www-data.
Premetto che su questo serve c'e' iptables che accetta in IN solo sulla 53
e 80 e sulla 20,21,22 solo dalle mie reti, in FW solo da localhost e idem
in OUT, il resto e di default.
Ora l'aiuto che vi chederei e' come trovare i demoni, librerie e
quant'altro eventualmente compromessi, e come capire cosa e' successo.
Grazie a tutti aspetto notizie
Agolf
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Davide
E' un server in produzione, non posso staccarlo, i clenti mi uccidono!
Faccio backup tutti i giorni alle 5 del mattino, se la violazione e'
avvenuta prima, ripristinare significa riportarmi i file dannosi, non so
con certezza quando e' stato violato, quindi non so con che nastro partire.
Non ricordo piu' come si faceva ma c'era un modo, forse, di confrontare
librerie e altro con la versione origginale?
Cmq grazie mille della risposta.


 memorie, i processori.

 Microsoft is to Software as McDonalds is to Cuisine.
 
LOL :)


 ormai e' inutile
Intanto grazie dei consigli, 
oltre ad awstats gira "solo" del php per qualche forum, lo sviluppo dei
siti  e' nostro, questo server non fa hosting.
Ok, secondo te/voi come faccio a essere sufficentemente (tanto sicuro da
reinstallare tutto) sicuro che sia stato violato e non si sia rovinato
logrotate o syslogd?
Nota dell'ultimo momento: un luser mi dice che ha uplodato una classe php
per il parsing di rss, che non aveva mai usato! Hanno usato un baco di
questa classe?
Ma che roba e il uselib24? L'avete gia' vista sentita?
Ps il server e' staccato, e il cenralino e' rovente! :-)


 siti  e' nostro, questo server non fa hosting.
Che versione di awstats ?
-- 
       _
.-._.=\-.
(_)=='(_)______________/ helix \___

> Ma che roba e il uselib24? L'avete gia' vista sentita?
Dai un'occhiata a 
http://google.com/search?q=uselib24

 Ps il server e' staccato, e il cenralino e' rovente! :-)
una nota spa che inizia per i e finisce x el li tiene giu` 3gg
senza dire nulla e senza farsi troppi problemi

> Ma che roba e il uselib24? L'avete gia' vista sentita?
Come hai identificato questa liberia ?


 Che versione di awstats ?
:-( una versione un po' vecchia 3.1!
Ciao


 Dai un'occhiata a 
http://google.com/search?q=uselib24
fico.


 siti  e' nostro, questo server non fa hosting.
Premetto che ovviamente è meglio reinstallare come ti hanno già detto ma 
sono convinto che in certi casi comunqeus i può fare qualcosa.
Parti da:
1) Blocca immediatamente awstats.
2) Spegni apache fino a quando non sei sicuro di avere almeno bloccato 
qualche possibile minaccia
3) Configura momentaneamente il firewall per un drop totale da Internet 
verso la macchina
3) installa rkhunter e chkrootkit
4) esegui chkrootkit, aggiorna rkhunter (rkhunter --update) ed eseguilo 
(rkhunter -c).
5) Rispristina tutti gli eseguibili indicati da rkhunter dai pacchetti 
originali della tua distribuzione
6) Cerca di eliminare TUTTI i processi che non conosci o sospetti
7) Controlla tutti gli utenti (passwd e shadow)
8) Controlla tutte le porte aperte (netstat -nap) e i programmi associati
Non ti fornirà una sicurezza discreta ma è meglio di niente.

 Dai un'occhiata a 
http://google.com/search?q=uselib24
Favoloso...
-- 
        Roberto Divia`              Love at first sight is one of the greatest
Dep:PH Bat:53 Mailbox:C02110      labour-saving devices the world has ever seen
Route de Meyrin 385               ---------------------------------------------
Case Postale                                Phone:  
+41-22-767-4994
CH-1211 Geneve 23 CERN                      Fax:    
+41-22-767-9585
Switzerland                                 E-Mail: 
Robert...@cern.ch

 :-( una versione un po' vecchia 3.1!
E' LUI !
avevano bucato anche il mio server.
ho aggiornato awstats,
cambiato password root
ora va da un anno.


 ora va da un anno.
Sì ma in ogni caso questo non va a favore di Debian Woody perchè se davvero
ha applicato sempre tutte le patch di sicurezza come dice, come cacchio è
possibile che abbiano scalato i privilegi sfruttando un bug del kernel
<=2.4.29-pre3?
O è più probabile che si sia scordato lui di aggiornare il kernel?

 librerie e altro con la versione origginale?
Premesso che ormai e' inutile, meglio reinstallare, forse ti riferivi a
Tripwire, l'Host-based IDS che verifica l'integrita' dei file
confrontando lo stato di un file system e del registry con un dataBase
predefinito e criptato.
Se ne hai necessita', per il futuro puoi installarlo dopo il formattone
;-)
EmJey
-- 
Non prendere la vita troppo sul serio... non ne uscirai mai vivo
http://www.joram.it/servizi/consulente.htm

 Come hai identificato questa liberia ?
ps -ef era in eseguzione!!


 Jan 2005.
*
*/
-- 
echo 15225453802040233345540387594P | dc

 
Come verificare una probabile violazione al server dovuto da awstat ?
GRAZIE
Ciao