Newsgroup: it.comp.os.linux.sys
Titolo: ho trovato myshell sul mio server mail...

Ciao a tutti,
Da ieri ho notato la presenza di alcuni file sospetti
nella document root del server mail aziendale.
In particolare ho trovato Myshell, software opensource
che permette di avere un shell remota via php....
Adesso sto analizzando i log per stabilire con precisione come è stato
possibile...
visto che l'ho trovate nella cartella "usage" che crea webalizer di default.
Ho appena lanciato chkrootkit che rileva un problemino su LKM trojan?
Che sia questo?
Che misure adottare?
Grazie
Giuseppe

 stesse vulnerabilità che ti hanno portato l'attacco ...
Scaletta del lavoro:
1. Trova la vulnerabilita' che ha permesso l'accesso
2. Formatta e reinstalla
3. Elimina la vulnerabilita'
In bocca al lupo :-D
EmJey
-- 
Non prendere la vita troppo sul serio...
non ne uscirai mai vivo

 
Ok, ma il fatto di avere una shell non vuol dire che con detta shell ci 
faccia poi molto.
Voglio sperare che l'utente di apache sia il classico nobody con 
privilegi inesistenti, quindi magari un controllo approfondito sulla 
macchina gli può anche rivelare un niente di fatto
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Che se io saprei che mio figlio mi diventerebbe un orecchione,
vivo glielo faccio mangiare il ritratto di Dorian Gray!
		-- Giorgio Faletti

 macchina gli può anche rivelare un niente di fatto
Avere a che fare con macchine compromesse (soprattutto se la
configurazione l'hai fatta tu) e' molto utile per capire dove hai
sbagliato e come rimediare ma poi, secondo me, la renstallazione da zero
di tutto e' l'unica strada sicura: con l'esperienza (dell'errore che hai
commesso e che ha permesso la violazione) si guadagna tanto, soprattutto
in termini di sicurezza futura :-D


 Che sia questo?
Questo l'hanno messo su dopo essere entrati.
Se controlli nel codice di chkrootkit vedrai quali sono i file sospetti 
associati al trojan LKM.
Perņ la rimozione di questi ovviamente non basta, bisogna anche capire come 
hanno fatto a entrare (il trojan indica solo che dopo hanno iniziato ad 
aprirsi una backdoor per comoditą).

Finalmente vi posso dare qualche notizia in piů...
il server č una mail server con postfix + apache + mysql.
Nella DocumentRoot del webserver ho trovato una cartella .Charter0ne
che faceva un redirect al sito una banca americana e un script php che
inoltrava via mail le credenziali di accesso (username + password) ad un
indirizzo mail.
Stiamo parlando di un chiaro tentativo di phishing...ma finora non sono
stato ingrado di capire da dove sono passati...tenendo conto
che la macchina permette l'accesso dall'esterno solo alla http, pop, smtp...
Adesso ho rimosso le cartelle hidden dal server per un accurata analisi...
ho informato l'Isp che mi fornisce l'hosting..che si prendeva cura di
informare la Charterone Bank...
Se avete consigli...sono tutt'orecchi...
Giuseppe


Non ci piove e non ci nevica, però se apache/php è ben configurato 
(basta anche un open_basedir) con shell ci fai poco poco.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Nel futuro ognuno sara' famoso per quindici minuti.
		-- Andy Warhol


Sto cercando di capire come posso essere entrati la distro è una rh7.3 +
apache 1.3.27
e apache gira con permessi ridotti apache:apache

 e apache gira con permessi ridotti apache:apache
che kernel giri? se hai uno piu' vecchio di un 2.4.29 allora ci sono 
bachi che permettono di diventare root facilmente a partire da una shell 
normale. Probabilmente con quello ti hanno installato il rootkit.

 in termini di sicurezza futura :-D
anch'io mi unisco al coro di chi ti suggerisce di ranzare su tutto.
I rootkit sono difficili da trovare, soprattutto quando nascondono pezzi 
di filesystem.

 Se avete consigli...sono tutt'orecchi...
- Studia il comportamento di chi è entrato (con un occhio di riguarda agli 
orari se riesci a capirli)
- Metti un meccanismo di backup aggiuntivo dei log. Chi entra sicuramente 
cancella le sue tracce dai log ma lo fa solo prima di uscire, ma se per caso 
hai un meccanismo di backup che, per coincidenza, fa un backup mentre 
l'intruso sta lavorando, almeno hai qualche log parziale di ciò che fa.
- Hai già distrutto parte del loro lavoro, se la porta da cui entrano è 
ancora aperta/non_patchata rientreranno e si rimetteranno al lavoro. Una 
volta eliminati i rootkit (questo è il difficile, am non impossibile) lavora 
sull'aggiornare il più possibile le porte aperte dall'esterno (http, pop, 
smtp, ecc...).
A questo punto passa la palla all'aggressore e aspetta per vedere se riesce 
a tornare...
Ovviamente questo bel giochino "di guerra" fra te e l'intruso lo puoi fare 
solo se la macchina non ha dati importanti, nel caso contrario mi associo al 
consiglio di riformattare.
Ah, occhio a eventuali sniffer, potrebbero fare più danni quelli della 
compromissione della singola macchina in questione!!!

 e apache gira con permessi ridotti apache:apache
Purtroppo non basta.
Con quel baco dell'SSL potevano fare l'upload dei file tramite Apache ed 
eseguirli. E con certi kernel (tra cui quello della RH 7.3) l'installazione 
di certi rootkit andava a buon fine anche se l'utente aveva privilegi 
ridotti.
Altro suggerimento: oltre a chkrootkit usa anche rkhunter, a me questa 
accoppiata è stata decisamente utile (il solo ckhrootkit alcune cose non le 
rilevava e viceversa).

 
Non vorrei sbagliarmi ma anche Apache aveva un buchetto (o era la 7.2?).
Alessandro.

 (basta anche un open_basedir) con shell ci fai poco poco.
Sicuro. A meno che non ci siano bug grossi (tipo quello su SSL e quello
del Kernel che vengono evidenziati piu' giu' nel thread)
Una lezione l'abbiamo imparata: gli aggiornamenti di sicurezza vanno
fatti, TUTTI   ;-)    :-DDD


 Davide
ROTFL !!!
Ma quando la gente passerą a buttare Fetora o RedCrap per passare ad una
distribuzione che gestisca i security update in maniera decente (leggasi
debian e derivate) ??
Apache 1.3.27 aveva anche un altro trojajo ... se hai modproxy attivato č
probabile che siano passati da li.
E sempre buona norma, ma prima o poi mi stancherņ di dirlo, firewallare
TUTTO _ANCHE E SOPRATTUTTO_ in uscita.
Il processo di apache NON deve connettersi all'esterno per nessun motivo
non verso host non trustati.
Ed č anche buona norma, chattr-are +i /sbin/init, le system map, e i
comandi principali (lsmod, ls, modprobe etccc).
Ed č anche buona norma usare qualcosa tipo grsecurity che, pur non usando
le ACL, riduce i rischi.
Max

 debian e derivate) ??
APT e' una questione di comodita', in effetti, ma non e' la manna.
io preferisco slackware, l'ho sempre preferita e mi ci trovo bene.
Certo che se poi non sai tenerti aggiornato sugli upgrade di sicurezza
non e' che avere la deb invece della slack ti sia di molto aiuto.


 le ACL
Pur non usando le ACL?

 io preferisco slackware, l'ho sempre preferita e mi ci trovo bene.
Beh, ad ognuno il suo, indubbiamente.
Non vedo slack da eoni, ma di certo tenere up2date slackware era impresa
ben più ardua.

 ben più ardua.
La parte "su cui volevo porre l'accento" e' che non importa con quale
distro ti trovi (ok, se hai mandrake importa ma non ci distraiamo) ma
che _se non sai manutenere il sistema_ un aiuto in piu' non e' la manna.


 Linux non conta più una cippa.
Infatti :-D (e non abbiamo neanche aperto il discorso: "Se non sai
almeno scrivere_man / leggere_gli_how-to /
studiare_i_commenti_dei_files_di_configurazione_ / configurare..." mi
sta venendo un dejavu con it.comp.macintosh...)


 debian e derivate) ??
Io uso comodamente apt-get anche con Redhat e Fedora.
Solo che è disponibile solo dalla RedHat 8.0 in poi e lui ha una vecchia 7.3 
(purtroppo anche io ho ancora qualche macchina con un s.o così vecchio, per 
fortuna sono rimaste in poche).

 distro ma diamo pane al pane.
Non era mia intenzione sminuire il meraviglioso lavoro fatto sulla
debian e probabilmente parlo cosi' perche' devo gestire pochi server e
sono ancora nella fase "mi pagano per farlo ma lo faccio per
divertimento" ma continuo a preferire la slack, anche come installazione
iniziale :-P
Poi, giusto per dare pane al pane, il nuovo installer della debian non
e' male affatto: quando sara' stable... :-D


 
Ieri mattina volevo provare gphpedit e mi sono ricompilato le necessarie 
librerie gnome.. non è che ci sia voluto poi troppo tempo, ho imparato 
un paio di cosette sulle dipendenze e sul configure e mentre lui 
compilava facevo altro, non mi sembra così terribile.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Ustica, 27 giugno 1980.
- Oh, un aereo che cade...
- Comandante, esprima un desiderio.
		-- Ziche & Minoggio

 Si parla (voci che corrono) di Aprile :-)
Speriamo: installare insieme OsX 10.4 e debian sarebbe un bel test che
farei volentieri :-P


 di nuovo tutto quanto?
Beh, se scegli gentoo, ad esempio, puoi pensare ad una macchina che
pre-prepara i pacchetti per tutti i tuoi server, a dist-cc eccetera
eccetera.
Del resto, su open come fai?

 wrote:
Errare e' umano (ma per fare veramente casino ci vuole la password di
root)
Errare due volte e' proprio idiozia, sorry :-D
for f in $mieiMessaggiNelThread ; do echo -e
",s/manteiner/mantainer/g\nw" | ed $f; done


 ",s/manteiner/mantainer/g\nw" | ed $f; done
famo che poi je metti in pipe s/mantainer/maintainer/g ;-P

 famo che poi je metti in pipe s/mantainer/maintainer/g ;-P
LOL
E' giunta la mia ora... di cena!!! (e di una bella dormita!) :-D
se solo il microonde facesse il suo lavoro piu' in fretta... :-P


 se solo il microonde facesse il suo lavoro piu' in fretta... :-P
Prova a ricompilarlo con -O6 <g>
.a.
-- 
Il mattino ha l'oro in bocca. Il MATTino ha l'OrO In bOcca.
i lma tt ino ha l'o roin bocc a.ilmattinohal'oroinbocca. il ma tt in
oh al' or oi nb oc ca. il matti noha l'oroinbocca. IL MATtiNO Ha l'ORO
InBOCCa. I l m a t t i n o  h a l' o r o i n b o c c a . ilmattinohal'oroin
BoCcA. iLmAtTiNoHaL'oRoInBoCcA.

 
Oui, ma per ricompilare php ci vuole 5 minuti, gnome è sul mio pc :-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Vogliamo tutto!  Per favore.
		-- Stefano Disegni

 EmJey
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

 pre? ;-)
L'unica pre che ho avuto me l'ha data il sito Apple sotto forma di...
Filmati Quicktime!!!! :-( :-( :-( :-(


 risorse impiegate dalla macchina.
per X.Org non c'è nulla di pronto (ma in fondo cambia ogni morte di
Papa!) ma per esistono pacchetti pronti per le robe più pesanti tipo
firefox, thunderbird, OO.o e OO.o Novell
btw se hai paura di ricompilare ogni due giorni su ambienti di produzione
basta usare una gentoo Stabile.
Gli "utenti normali" preferiscono avere software più fresco (per esempio
~X86) ma comunque anche il ramo stabile di gentoo dovrebbe essere molto
meno stantìo di quello Debian, anche se non so in quanto non ho
esperienza di ambienti server e non voglio scatenare una guerra di
religione

 
Ho un parco macchine che va da un povero amd 400 ad un 2xeon con 2 gb di 
ram, però le macchine piccole hanno un carico basso e non c'è problemi a 
fargli fare un po' di lavoro extra (una mailing list)
Comunque (ripeto) è anche una questione di abitudine: per me sarebbe una 
bella rottura dopo 8 anni cambiare tipo di gestione :-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
A che serve essere vecchi, se non si puo' essere un po' sporcaccioni?
		-- Dal film "Personal Service"

 
Ci credo e lo dicono in tantissimi, ma non ho il tempo..
Lo metteresti un server di un cliente con una distro che non conosci?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Che se io saprei che mio figlio mi diventerebbe un orecchione,
vivo glielo faccio mangiare il ritratto di Dorian Gray!
		-- Giorgio Faletti

 Ovviamente il tutto e' tremendamente OT. ;-)
Ma interessante e poi un sysadmin... ha da amministrare di tutto!!!
Sul macmini linux ci va che e' una crema, provalo e scoprirai come il
macmini puo' essere ridefinito e diventare un ottimo "iServe" (ossia un
Apple xServe in formato ridotto)


 far sperimentare al ciente non mi piace mica tanto
Infatti: prendi una macchinaccia, testa Debian per un po' e convertiti! :-)

 Lo metteresti un server di un cliente con una distro che non conosci?
Con la nuova debian forse si, ad aprile saro' piu' preciso (se esce la
stable come sembra)


 writes:



Anche Ubuntu vale la pena.  E` molto facile e se non hai tempo per
conoscere bene Debian, puo` essere una scelta buona.
-- 
David N. Welton
 - 
http://www.dedasys.com/davidw/
Apache, Linux, Tcl Consulting
 - 
http://www.dedasys.com/

 ...
vorresti dire che dopo tanto peregrinare fra red hat, mandrake, suse, e 
fedora essere riuscito a installare e far funzionare la slackware su un 
notebook lo devo ritenere come un notevole passo verso la conoscenza 
??? ;-)

 Xephem, *dai sorgenti*. Si e' portato appresso tutto lesstif e altre
Il più bel programma di astronomia del mondo *nix
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Se George Washington fosse vivo oggi, sarebbe notato soprattutto per la
sua incredibile eta'!
		-- Jack Klugman

 Purtroppo non ho salvato la URL (che  poi e' Real player)
Se vuoi ce l'ho salvato, mandami un ftp che te lo carico, l'indirizzo
email e' valido.


 
si, con debian si! ;-)
:-D :-D :-D

 EmJey
Non lo so, mantenere una cosa diversa da quella che mantengo sempre e 
far sperimentare al ciente non mi piace mica tanto
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Ci sono piu' socialisti in galera oggi che durante il fascismo.
		-- Riccardo Lombardi

 di tornare indietro :-)
QUalche gg fa era davanti ad un file-serverino appena sistemato, (con debian 
sopra) insieme al presidente della ditta a cui l'avevo installato, tizio che non 
l'aveva mai visto in funzione e per questo era curioso di vedere 'come 
funzionava linux'.
Non mi ricordo di preciso che software mancava (mi pare unzip o 
qualcos'altro...) cosi' mentre lui guardava e vede che ho un errore per via 
della mancanza di questo comando, io dico, "ah vabe' no problem lo scarichiamo e 
tra 10 secondi lo abbiamo, pronto all'uso". Faccio un bel apt-get install ....
e poi il tutto funziona. Beh, fin qui tutto normale, ma la cosa buffa e' stata 
la faccia del tipo, mentre sorrideva con gli occhi di fuori ha detto: "Noooooo! 
Ganzissimo! Cioe' te hai digitato... e lui ti ha installato... e ora funziona... 
ma con quanti programmi si puo' fare?" Gli ho risposto e lui e` andato via con 
un sorrisone sulla faccia.... Domani devo tornarci per altre cose... che gli 
siano venute strane voglie??
-- 
Post prandium stabis, post coenam ambulabis.
RRB

 EmJey
Oggi mi dovrebbero portare un mac mini :-)
Ovviamente il tutto e' tremendamente OT. ;-)
Ciao,


 EmJey


 
la strada è lunga e piena di insidie ma sono deciso a perserverare...
markus
p.s.: puoi immaginare le 'esclamazioni colorite' lungo il cammino... :-)

 
Ho capito, mi tocca provare altrimenti non mi cagate più :-(
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Invitato a leggere il Nuovo Testamento, Mike Buongiorno ha chiesto:
"Perche', sono compreso tra gli eredi?".
		-- Amurri & Verde

 
QUesto si chiama essere ruffiani :-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it


 email e' valido.
Ma io l'avevo detto per te...


 Ma io l'avevo detto per te...
ops :-P


 
Da te non me lo aspettavo...
Vabbè sono 8 (!!) cd di roba che domani mi tocca masterizzare..
Se mi trovo male ti vengo a cercare :-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Stile.  Aveva una prosa cosi' graffiante che i suoi lettori si
riconoscevano dai segni sulla faccia.
		-- Massimo Bucchi

 
Noneee! Errore da niubbo :-)
Per l'installazione di base ne basta uno.
Alessandro.

 metà :-)
In effetti preferisco la tipa delle Fonzies... :-P



Ma se mi piace come si amministra sono già a posto (tanto un cliente 
"ansioso" di sperimentare l'ho già :-) )
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Gran brutta malattia il razzismo.  Piu' che altro strana: colpisce
i bianchi, ma fa fuori i neri.
		-- Albert

 "ansioso" di sperimentare l'ho già :-) )
No. No. No. Nell'ottavo cd c'è roba che non userai MAI. MAI. MAI.
E nel settimo. E nel sesto. E nel quinto. E nel quarto. Nel terzo
forse c'è qualcosa che ti può servire. Nel secondo, più roba.
Nel primo praticamente TUTTO ti serve.
Pedonzolo
-- 
- Sapete come si fa a riprendersi quando si e' giu'?
- Si abbassa la telecamera.

 
Vabbè, vuol dire che masterizzo le prime 2 e poi controllo cosa c'è 
nelle altre..
Tanto nel caso rompo le scatole a chi mi catechizza con debian tutte le 
volte (vero thorin???)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
I ricchi non sono mai generosi.
Se fossero generosi, non sarebbero ricchi.
		-- Paperon de' Paperoni

 Oh, nessuno ha detto che devi trombare né con me né con Roberto, eh :-D
Tu continui 'sta opera di catechismo debian-based, Roberto si lascia
catechizzare... che male c'e' se io mi catalizzo sulla tipa delle
Fonzies? ;-)


 EmJey
Ti dirò, visto che siamo in temi di invio dati e altro preferisco 
l'ultima incarnazione di adriana di tim ;-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Un amico e' uno che sa tutto di te e nonostante questo gli piaci.
		-- Elbert Hubbard

 chiede "come farne a meno?"
la perseveranza premia... con un po' di studio, tanta pazienza e senza
'rompere' sono riuscito a configurare slackware per far funzionare la
scheda audio del mio notebook... adesso tocca alla scheda wireless !
;-)
buona pasqua a tutti