Newsgroup: it.comp.os.linux.sys
Titolo: Paranoia da attacco


|=> my public GPG key:
|=> 
http://utenti.lycos.it/ballardplace/gpg/andrea-gpg-pubkey.asc
'===================================================================>>

 PS: tra l'altro mi sono trovato la passwd di root cambiata
Usa un rootkit checker, avvia da un floppy protetto o da CD e controlla
l'intero sistema. Se sei veramente paranoico re-installa tutto da capo.
Davide

belbo wrote:

Per quanto riguarda il tuo specifico problema non so risponderti, però ti
consiglio di usare qualche tool che ti permetta di scoprire se qualcuno è
entrato nel sistema ed ha fatto modifiche tipo tripwire (verifica che i
files di sistema non siano cambiati) e nessus (controlla se ci sono dei
punti deboli nei servizi).

a guardare i log con dmesg senza trovare nulla di strano: alle 4:30 linux si e'
A Milano stanotte attorno a quell'ora c'e' stato un forte temporale. Non e'
che per puro caso c'e' stato uno sbalzino di corrente ?
Mi son ritrovato un paio di macchine ripartite attorno a quell'ora dietro il
firewall nella lan privata.
-- 
Bye, Bosk

cambiarla con 'sudo'.
Brutta cosa. Dopo un evento del genere, il Linux e' da considerare
compromesso. Una mossa furba sarebbe di salvare tutti i dati,
formattare e reinstallare tutto, anche perche' non sai cosa possa
essere successo dopo che e' stata cambiata la pwd di root: potrebbe
essere benissimoc he il tizio che e' entrato abbia fermato il syslogd
(o te l'abbia modificato) per fare i cazzi suoi.
Una volta reinstallato il linux, usa un sistema tipo tripwire per
tener d'occhio i file vitali.
Se ti colleghi da fuori con ssh, disabilita la possibilita' di
accedere direttamente con l'utente root.
Ciao,
luigi

 situazione. Qualsiasi cosa vi venga in mente suggeritemela...
questo č piu' grave del riavvio. Come ti hanno gią consigliato ti conviene
reinstallare.
Chi ha accesso fisico al server? Magari qualcuno ti ha fatto uno scherzo...
Ciao
- -- 
No matter. Try again. Fail again. Fail better.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (GNU/Linux)
iD8DBQE/H95RQb6qi6QXZLkRApTLAJ9KLqIUr/n99rH5WG3BbBsXdRhK0gCfSyD4
+7wrCVnIs56LsS61XhsvX9M=
=1lby
-----END PGP SIGNATURE-----

 situazione. Qualsiasi cosa vi venga in mente suggeritemela...
avevo quzslche server bacato che ogni tanto si riavviava... ma se hai la 
password di root cambiata qualcuno è entrato di sicuro. se tu avessi 
utilizzato tripwire o affini avresti potuto per lo meno vedere che cosa 
è stato variato. ora che la macchina è copmpromessa dovre4sti 
re-installarla. se porprio nhon puoi, anche se non è la soluzione 
ottimale, potresti pensare di utilizzare rpm (o altro gestore di 
pacchetti) per verificare l'integrità di tutto il sistema e quindi agire 
di conseguenza.
tieeni conto che le cose aggiunte ai pacchetti standard non le rilevi in 
questo modo, ma è già qualcosa più di niente
-- 
Davide Corrado
to send mail, remove "no_spam_" from the address

 luigi
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchč sapeva contare fino a 20.
	Nudo fino a 21

 su - non cambia la sostanza della cosa
SBAGLIATISSIMO: se hanno modo di fare bruteforce o guessing della password
di root sono gią dentro col massimo dei permessi senza nemmeno farti
passare dal via. Se invece sono costretti a guessare *sia* lo username
che la password ottieni che:
1) diventa meno banale
2) una volta entrati devono fare privilege escalation
Soprattutto il 2) implica
a) non č detto che ci riescano facilmente
b) non hanno privilegi per poter mettere mano ai log dei loro accessi, e
quindi *li vedi*. 
E non mi sembra poco...
Ciao...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 Ciao...
Giuste considerazioni (direi che me ne devo tornare in ferie invece di
starmene al calduccio) 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchè sapeva contare fino a 20.
	Nudo fino a 21

tolgo utenti ogni paio d'ore che cosa ci metto?
Tripwire ha un file di configurazione (che dovresti togliere dal
Linux, una volta che hai configurato il programma) che viene poi
"compilato" in un altro file criptato.
In questo file du specifichi o directory per directory o file per file
cosa vuoi controllare.
Per esempio di un file potresti controllare solamente le permission,
mentre di un altro file potresti voler controllare  anche la data di
modifica. Sotto questo punto di vista e' estremamente versatile.
Di solito nelle distro trovi un file gia' mezzo pronto, sta a te
togliere/mettere quello che serve.
Ciao,
luigi

2) una volta entrati devono fare privilege escalation
3) Il delta tra il tempo in cui entrano come user e il tempo in cui
guadagnano i permessi di root potrebbe essere non piccolo, permettendo
al SysAdmin di accorgersi che sta succedendo qualcosa di strano.
Qualsiasi ostacolo che faccia perdere tempo e provochi "visibilita`"
ad un attaccante potrebbe significare la differenza tra un attacco
riuscito e uno respinto.
Ciao
luigi



Infatti credo che sia stato il temporale, non so perche' non ci avevo
pensato. Ma il problema della passwd di root rimane, ed e' per
inspiegabile.


 inspiegabile.
Potrebbe essere che si e' corrotto il file /etc/passwd ?
-- 
ciao            |visita
                 |
http://www.sifor.it
gelty           |
http://www.sifor.com
-------------------------------------
E' esplicitamente vietato usare l'indirizzo e-mail di questo messaggio
per fini diversi dalla risposta al messaggio stesso (Art. 10 DL. 171/98).

 inspiegabile.
Aggiungo un dettaglio: quando faccio passwd da utente normale ecco cosa
mi dice:
passwd: Authentication service cannot retrieve authentication info.
Sembra piuttosto grave. Come faccio a reinstallare solo il sistema di
autenticazione? Ho debian woody...


 che faccia su - non cambia la sostanza della cosa
più che disabilitare la connessione diretta del superutente, io toglierei 
l'autenticazione tramite password.
in questo modo, solo chi è già registrato in qualche modo sulla macchina 
può accedere.
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------

 già registrato in qualche modo sulla macchina può accedere.
 
L'unico utente che deve entrare ed ha una shell sono io come root (e qualche
altro login di servizio tipo database ma con *) e normalmente lo faccio
dalla mia postazione ma mi può capitare di farlo da un cliente. L'ideale sarebbe togliere l'accesso a
root dagli ip fuori della mia rete, oppure mettere l'autenticazione con
chiave e fare n dischetti (da tenere anche in macchina perchè ho una
memoria disumana.. A proposito, stavamo parlando di???)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchè sapeva contare fino a 20.
	Nudo fino a 21

 su - non cambia la sostanza della cosa
Cambia che devo "indovinare" due password, anziche` una.
E una si puo` pure indovinare, eh.
Cambia che e` educativo verso se stessi, abituarsi a _non_ lavorare
_mai_ da root, se e` possibile fare a meno. L'account di root serve
_solo_ per fare root. Non e` un account utente. Root non e` un utente.
Se proprio devi/vuoi usare l'account di root "a default", _almeno_
disabilita` il login via password e usa solo le chiavi.
Questo, IMHO e` accettabile e risolve il problema "indovina la password"
(ma non quello "educativo").
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Wasting time is an important part of life.

 (ma non quello "educativo").
So che adesso sarò linciato...
Quando devo fare qualcosa sui server DEVO essere root in quanto sono
server web e mi devo loggare o per controllare i log o per modificare le
configurazioni  o per "aiutare" un cliente che non riesce a scaricre le
email, quindi lo status di root è alquanto utile...
Ogni tanto devo loggarmi da fuori (per manutenzione di emergenza dalle
ferie col palmare o da un cliente) e quindi mi riesce difficile (col
palmare impossibile!!!!) l'autenticazione via certificato (anche se sarà
costretto).
Quindi (e qui scatta il linciaggio) uso root anche sulla mia macchina
proprio per "buona educazione", in quanto è inutile abituarsi all'ombrello
dei permessi unix/linux se poi quando devo fare le cose sul serio detto
ombrello non c'è.
Comunque (se almeno mi salva dalle sassate sulle palle) quando faccio
cose meno tranquille (lopster...) uso un utente senza privilegi e senza
shell
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchè sapeva contare fino a 20.
	Nudo fino a 21

 ombrello non c'è.
Ripeto, ognuno faccia cio` che ritiene opportuno. Ne riparliamo al
prossimo rm -rf (non per portare sfiga, eh, pero`...)
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Real programmers can write assembly code in any language.

 prossimo rm -rf (non per portare sfiga, eh, pero`...)
 
Non ti preoccupare: nel primo anno di linux ho fatto un bel chmod -R 777
* (ovviamente da /) e da quel momento quando ci metto un -R a qualche
comando mi rileggo la stringa 10 volte :-)))
Nel caso di amministrazione fatta da più utenti sono d'accordo, però non
tutto è fattibile: come fai  a far ripartire apache se non sei root? E
penso che per postfix sia lo stesso, ovvero tutti i programmi che partono
in root per poi "calare" ad un altro utente hanno root come proprietario..
