Newsgroup: it.comp.os.linux.sys
Titolo: Hackeraggio????

Panico! 
Sono entrato in blackbox (ero connesso  da circa 40 minuti), ho lanciato
konquerror per provare  na cosa (era installato da  tempo), sono uscito,
in  tty6 ho  digitato rm  .kde/  -r per  levare quello  che aveva  messo
konqueror, questo  messaggio _non termina_  ma mi butta fuori  al login,
cambio tty e su ogniuna basta che  scrivo un comando e mi butta fuori! e
non mi  fa piu' loggare.  Riavvio, ctrl+alt+canc  non va (mi  mette give
root  password for  maintence,  tipo  al boot  quando  si  e` spento  il
pc  brutalmente e  e2fsck  non  riesce a  sistemare  da  solo), la  pass
(ero  ancora connesso)  non la  digito. Riavvio  HW. Rientro,  controllo
/etc/host.allow, i log vari ecc  ecc, tutto apparentemente pulito. Mi e`
subito venuto  in mente  il brutto episodio  successo a  Crononauta! Che
dite e`  un caso? O  c'e` la possibilita`  che abbia subito  un attacco?
Solo postfix  aperto, e  chiuso tramite  firewall comunque  con politica
DROP. Che mi dite???
Grazie
-- 
(N) (a) (i) (l) (m) (a) (n)
  ] - remove (dot) from my email address to reply - [
      ] - 
http://setiathome.ssl.berkeley.edu
 - [

 DROP. Che mi dite???
Che se avevi un firewall i casi sono due:
- il firewall non ti ha segnalato nulla e allora e' configurato male.
- konqueror e' una chiavica ed ha qualche bug per cui ti allarmi
inutilmente.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

DROP. Che mi dite???
Controlla le seguenti cose, se sono come ti riporto, hai subito il mio
stesso attacco:
1) un utente aggiunto in /etc/passwd e relativo /etc/shadow, ovvero:
motor:x:504:504:/tmp:/bin/bash
naturalmente il numero può essere diverso;
2) il file /etc/hosts.allow modificato con "ALL:
0.0.0.0/0.0.0.0
 in
fondo;
3) il file /etc/inetd.conf modificato con una riga in fondo, non
ricordo la sintassi precisa ma è inconfondibile perché trovi due righe
che richiamano una shell e in.telnetd che permette la "proiezione" di
questa shell all'esterno via remoto; tra l'altro su una porta alta,
tipo 60030.
E queste due righe sono sotto la riga che dice:
# end of inetd.conf
chiaro sintomo che sono state aggiunte a posteriori in modo anomalo (a
meno che non le abbia scritte tu in un raptus di follia...)
4) se hai il named installato, controlla se per caso in /var/named non
c'è aggiunta la zona "ADMROCKS".
5) probabilmente troverai in /tmp un piccolo script residuo, di nome
r00t.c , contenente due righe tipo "su  root ( 0 )".
6) controlla i log, se sei stato attaccato troverai che è avvenuta la
rotazione dei log anche se non era il momento, analizza
/var/log/secure e guarda se per caso ci sono monitorate tentate
connessioni su qualunque servizio attivo, indice di un portscan. Io
avevo rilevato tentativi di connessione su pop3 e telnet, entrambe
respinte perché erano servizi bloccati. Poi hanno beccato la porta
53... e ciao rosina :-(
Eventualmente, se proprio hai il panico, prova a riavviare il sistema
entrando come utente singolo (cioè al lilo: scrivi "linux 1" oppure
"linux single") in modo da entrare in modalità manutenzione, poi vai a
guardare se ci sono cose strane da lì.
Se però dici che passwd, host.allow, inetd.conf, log vari sono puliti,
dovresti essere a posto.
O quantomeno non hai subito il mio attacco...
-- 
Crononauta
==========               | togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815         | per rispondermi in e-mail   | 
IDAnet: 
http://adcserver1.biodip.unimi.it/IDA/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html

O quantomeno non hai subito il mio attacco...
Forse mi sto facendo  problemi per nulla, ma quando ho  visto che non mi
faceva piu`  il login  mi sei  venuto subito  in mente  e son  andato in
panico (ho  pure scritto il  lessaggio con subject  che temina con  => 3
punti esclamativi  e me lo sono  autokillato :) )... Io  spero vivamente
che sia  un baco di  konquerror, in fondo  quando il casino  e` successo
quando sono uscito da X. Quando mi  ha dato il prompt per la password di
root ero ancora connesso e non  ho voluto inserirla, quindi ho riavviato
(HW perche` ctrlaltcanc non fungeva)...
Un punto a favore della tesi di konqueror e` che usando woody tutto puo`
essere, ed un po mi tranquillizza.  Log strani non ce ne sono, modifiche
strane neanche,  forse era proprio  un baco  di konq....ad ogni  modo ha
finito di occupare spazio sul mio hd, stanne certo :)
Ciao


inutilmente.
Io spero sinceramente sia questo, non  lo uso praticamente mai (anzi ora
lo disinstallo  pure), per  cui non so  se possa essere  un suo  bug, lo
spero vivamente.
Ora mi metto a fare controlli...


finito di occupare spazio sul mio hd, stanne certo :)
Impressionante pensare a un programma che ti tira giů il pinguino...
ma sei sicuro di avere un kernel stabile?


 Grazie
De nada.


 Operator che puo` essere?
Un altro account di sistema ma non so sinceramente per cosa sia usato.


>In particolare; nobody ha una shell??
Allora,  nobody esiste ma non ha shell, perché da me è:
nobody:x:99:99:Nobody:/:
Non so se può cambiare qualcosa, da te...
Quanto a Operator, ce l'ho come:
operator:x:11:0:operator:/root:
Questo è quello che ti posso dire.
-- 
Crononauta
==========              |  togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815        |  per rispondermi in  e-mail  | 
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html

 spero vivamente.
Da me problemi non ne ha mai dati...
Ciao.
-- 
***  Per E-mail rimuovi ModE dall'indirizzo  ***
  *** Linux user # 198661 --- ICQ 33500725 ***
*** homepage 
http://web.tiscalinet.it/kailed
 ***
            *** Powered by Linux ***

 Operator che puo` essere?
Spiacente, non lo "tengo"....


ma sei sicuro di avere un kernel stabile?
Si, ho il 2.4.1 al momento....
Ecco forse l'ultima volta che avevo avviato konq ero ancora col
2.2.17...
Ora non so che fare, e` possibile secondo te farmi un immagine iso del
sistema (con dd? e come faccio se ho piu` partizioni? un backup a mano?)
e metterla in un disco a parte, e per i file che mi servono montarla col
loopback e prendermi i file che mi servono per "rifarmi" un
installazione pulita probabilmente di Debian 2.2 lasciando stare potato
che in fondo non serve a nulla, solo a rompermi le palle sui possibili
bachi... ?
Ciao e grazie


altri oppure se il tuo e' stato un caso isolato.
Guarda, non  ho mai  usato KDE  e programmi annessi,  ma posso  darci un
occhiata, forse pero` non mi sara` di  grande aiuto per il fatto che uso
woody, che dici?
Ah, la porta 25 era aperta da postfix ;
matteo@router:~$ ls /var/cache/apt/archives/post*
/var/cache/apt/archives/postfix_0.0.20010204.SNAPSHOT-1_i386.deb
Snapshot del 4 Febbraio 2001, e` un po troppo recente perche` abbiano
trovato degli exploit penso, sbaglio?
Mi metto l'anima in pace?
Grazie ancora


priorita' e non necessita di alcuna shell, AFAIK.
Ma di tutti gli utenti con shell che faccio le tolgo?
Grazie,  ora  sono  quasi  sicuro  si trattasse  di  quel  maledetto  di
konquerror...


nobody:x:65534:65534:nobody:/tmp:/bin/bash
Debian?
Allora e`  definitivo, il colpevole  e` konqueror, per fortuna....  e si
che comunque era l'ultima versione perche` faccio un apt-get update alla
settimana.... il pc e` rock solid, non crasha mai nulla....bho`, strano,
ma almeno ora sono sicuro di essere "pulito" :)


 Mi metto l'anima in pace?
Massi'...


 Ma di tutti gli utenti con shell che faccio le tolgo?
 _   _  ___  _ 
| \ | |/ _ \| |
|  \| | | | | |
| |\  | |_| |_|
|_| \_|\___/(_)


 >>priorita' e non necessita di alcuna shell, AFAIK.
sotto debian 2.2 con apt-get puntato a woody
/etc/passwd
nobody:x:65534:65534:nobody:/home:/bin/sh
proprio prima del mio utente.
A questo punto escluderei modifiche dall'esterno.
Me ne torno in "lurk mode", dove e' meglio che stia  ;)
Ciao ciao
-- 
by Luca / ------------------ luca (.) albricci (at) libero (.) it
    \/ /  A Real Newbie
---- \/ -------------------------------- Powered by Debian 2.2 --

In particolare; nobody ha una shell??
Nella Slack no, ma nella Deb si`, guarda:
operator:x:37:37:Operator:/var:/bin/sh
nobody:x:65534:65534:nobody:/home:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System
(admin):/var/lib/gnats/gnats-db:/bin/sh
Identici! Anche tu hai la Deb, neh?
-- 
Ci sentiamo  |  Remigio Zedda  || Attenzione! campo "From:" alterato
ciao Remigio |                 ||==> E-mail: 
remi...@tiscalinet.it
-------------|      ..si` d'accordo.. ma con la Deb e` un'altra cosa!
/* Linux 2.2.17 su Debian GNU/Linux 2.2 Potato */

A questo punto escluderei modifiche dall'esterno.
Perfetto tnx :)


Massi'...
Ok grazie dell'aiuto allora :)
Ciao


               
Chiarissimo :)))


Identici! Anche tu hai la Deb, neh?
Eh si =D
Grazie a tutti
...e` ora che mi rimetta a bestemmiare su INN  (-:


 Identici! Anche tu hai la Deb, neh?
anche da me:
/etc# egrep "nobo|mail|news|oper|lp|gnats" passwd
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/spool/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
operator:x:37:37:Operator:/var:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System
(admin):/var/lib/gnats/gnats-db:/bin/sh
nobody:x:65534:65534:nobody:/home:/bin/sh
-- 
Pa.Ped, Como
http://www.fastflow.it/~paolop
ICQ: 4755831
VOTE AGAINST SPAM! 
http://www.politik-digital.de/spam/it/
Contro i brevetti software: 
http://petition.eurolinux.org/index_html

sistema (con dd? e come faccio se ho piu` partizioni? un backup a mano?)
Io per fare i backup uso un metodo truce: copio in massa le cartelle
su un cd, cosě come sono, salvaguardando i permessi dei file.
Se devo reinstallare, butto su una installazione alla sperindio dal CD
della distribuzione, come viene viene, chissenefrega, basta che booti.
Poi entro come utente singolo e ripristino fisicamente le cartelle che
avevo copiato... tanto basta stare attenti a /bin che contiene i file
"vitali" senza i quali non riesci piů a fare niente, nemmeno ls (!) e
il problema č risolto...
So di essere un macellaio, ma il mio credo č: "se funziona, č giusto!"
:-)


 :-)
Io no, non dico mai "se funge e` ok", anzi.... (-:
Grazie
Ciao


 	$IPTABLES -A INPUT -i $INTERFACE --dport 25 -j DROP
Ecco che ho  fatto la mia cagata! Ho modificato  il firewall "in corsa",
aggiungendo  queste regole  e senza  controllare se  andavano, in  ip-ip
avevo firewall >/dev/tty12,  ma lo stderr non mi andava  in tty12, cosi`
non mi sono accorto che le regole _non avevano effetto_ perche` ho usato
l'opzione  --dport *senza*  specificare -p  tcp, col  risultato che  non
riconosceva il comando  --dport e dava errore ma senza  stderr io non me
ne accorgevo!
Comunque il male e` che non mi avrebbe loggato una mazza, i pacchetti li
bloccavo comunque con la politica DROP. Bella cazzata ho fatto comunque.
Vabbe` niente  LOG, speriamo  in bene che  di quei log  non ce  ne fosse
bisogno.... Crononauta, dopo il tuo errore  della 53, ci sono cascato io
con questa  disattenzione :(( Quando  fai qualcosa con  troppa sicurezza
stai sicuro che canni....grr
Vabbe` ciao:)


 Allora e`  definitivo, il colpevole  e` konqueror, per fortuna....  e si
Strano, veramente strano, è la prima volta che sento una cosa simile:-/


 l'opzione  --dport *senza*  specificare -p  tcp, col  risultato che  non
Brao'.. :)


(admin):/var/lib/gnats/gnats-db:/bin/sh
Sulla mia debian 2.2:
[Tiger]~$ grep nobody /etc/passwd
nobody:x:65534:65534:nobody:/tmp:/bin/sh
Ciao
Diego
-- 
Cosa c'č nella nebbia in Val Padana
ci son cose che a dirle non ci credi;
non ci credi neppure se le vedi,
a parte il fatto che non le vedi...
                                   (Cochi & Renato)

> Brao'.. :)
Basta  ho  deciso,  reinstallo,  dopo  8  mesi  di  smanettamenti  senza
reinstallare ora che  qualcosa so` reinstallo una Debian  2.2r2 pulita e
lascio perdere woody. Ormai  che ci sono tento di metter  su il devfs su
questa prima di reinstallare, cosi` ho  un buon motivo per farlo dopo :)
Ciao


mi pare, c'e` nessuno che mi da una controllatina sulla propria Debian?
Ho tutto uguale a te. Debian testing/unstable.
-- 
       GHERdO, happy linux user
"Lei ha bisogno di qualcuno che la guardi"

stai sicuro che canni....grr
Vabbé, consolati, non riuscire a loggare i tentativi di accesso a una
porta chiusa, è parecchio meno grave che non lasciare la porta
aperta!!! =:-O


 aperta!!! =:-O
Eccomi di nuovo qua, cambiata distro (2.2r2 pura col 2.4), pulito tutto
l'hd, INN2 gia` funzionante, nick abbandonato in favore del nome (-:, e
followup_string sempre piu` bastarda =P
Ciao
-- 
La risposta e` necessaria solo se fai la domanda giusta
						   Miyagi.

Per fortuna da me non avevano tanta scelta, o SMTP o fuori =)
Per un uso casalingo di sola spedizione della posta (non ricezione
dall'esterno; nota che fetchmail non riceve tramite SMTP, anche se
puo` passare via SMTP in locale a un MTA)
puoi anche configurare postfix dicendogli su che
indirizzi ascoltare; in particolare puoi dirgli di scoltare solo
su 
127.0.0.1/8
 
inet_interfaces = localhost
(in /etc/postfix/
main.cf
)
e poi con 
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f ; done
voglio vedere chi gli parla oltre alla tua macchina.
Comunque sulla mia macchina principale di casa ho smail da tempo
preistorico e NON ascolta su nessuna porta (ripeto NON apre la 25/tcp o 
altra porta in listening). "mutt" e "mail" spediscono tranquillamente,
sia offline che online, usando lo smail locale (anche se non ascolta; 
la comunicazione e` diretta attraverso il comando /usr/sbin/sendmail ) 
e fetchmail scarica tranquillamente e deposita in un file attraverso 
la riga di configurazione
mda "/usr/bin/formail >>~/mail/formailbox"
di fetchmailrc (inoltre procmail lo uso a mano quando voglio
al posto di farlo usare in automatico da fetchmail ...)
X non lo uso (quasi mai), ma se dovessi usarlo c'e` l'opzione 
-nolisten tcp
per evitare connessioni esterne alla macchina (che invece io uso
le poche volte che uso X)
Insomma, puoi avere una macchina di casa senza porte tcp in ascolto.
Con adeguato firewall di controllo udp icmp e eventuali porte alte
tcp aperte in ascolto dai clients (pure lynx le apre ... uffa, ho 
dimenticato lpd e magari altro, ma a casa non stampo :-) puoi stare
ragionevolmente tranquillo.
Se paranoia t'assale, compra un disco enorme e fai girare tutto chrooted 
ognuno nella sua gabbia :-)
Ah, kernel patchato con LIDS e cose simili per bei giochetti, tipo non 
lasciare uscire neanche root dalle gabbie chrooted. Senza patches, potresti:
apt-get install lcap
dpkg -s lcap
man lcap
man chattr
Poi esiste (oltre al generico securuty-how-to) una miniguida per Debian:
http://www.debian.org/doc/manuals/securing-debian-howto
http://joker.rhwd.de/doc/Securing-Debian-HOWTO

 al posto di farlo usare in automatico da fetchmail ...)
Hai il gusto dell'orrido, a quanto vedo.
-- 
Emmanuele Bassi         |  Linux: [ 
http://digilander.iol.it/ebassi/linux/
 ]
                        |   SLRN: [ 
http://digilander.iol.it/ebassi/slrn/
  ]
emmanue...@iol.it
  |   SETI: [ 
http://digilander.iol.it/ebassi/seti/
  ]
  GnuPG Key Fingerprint: 9747 635E B95A B0B3 4370 1CAA CAF7 512B 945C A44C

 
http://joker.rhwd.de/doc/Securing-Debian-HOWTO
Grazie, questo tuo post e` una miniera d'oro per la sicurezza =) me lo
salvo e quando ho un po di tempo provo qualcosa.
Ah, dimenticavo, hai suggerimenti per sshd (che mi tocca aprire a volte
perche` uno dei pc in LAN e` talmente lento (P90 16M) che lo faccio succhiare
risorse da qui per far partire quel che non regge (Mozilla, gnumeric).
E per INN? C'e` un qualcosa di simile a inet_interfaces=localhost di
postfix? nnrp.access in teoria...
## Default is no access, no way to authentication, and no groups.
*::::!*
##  Foo, Incorporated, hosts have no password, can read anything.
#*.foo.com:Read Post:::*
## Bar, Incorporated have a separate access file that they maintain
# *.bar.com:/news/etc/customers/
access.bar.com
stdin:Read Post:::*
localhost:Read Post:::*
127.0.0.1:Read Post:::*
Basta questo? a INN non deve aver accesso nessuno tranne localhost
perche` al papalino non interessano i ng :))
Ciao e scusa se ne approfitto :)


 cioe` nessuno.
ehm, vabbe ho la testa a spasso...:)


 cioe` nessuno.
Rileggi *meglio*... ;-)


 Rileggi *meglio*... ;-)
Eh me ne sono accorto subito :)
