Newsgroup: it.comp.os.linux.sys
Titolo: sniffers... cosa faccio?

Sono stato da poco assunto come webmaster ed ho appunto il compito di
aggiornare le pagine del mio sito. Purtroppo mi hanno lasciato anche
l'amministrazione del server e proprio 'stamattina arriva una collega e mi
dice: "giù da noi hanno sfondato una macchina ed hanno piazzato uno
sniffer... volevo avvertirti così puoi controllare il tuo server!".
Dopo questa notizia ho cominciato subito a controllare tutti i files di log
e gli accessi. Poi però mi è sorto il dubbio: un bravo hacker (per non dire
nella media) non lascia certo tracce nei log!! Ho lanciato pstree per vedere
i processi attivi ma ne sono tanti e non li conosco.
Insomma: qualcuno sa spiegarmi quali controlli effettuare per verificare se
qualcuno ha installato uno sniffer sul mio server? Sarebbe ancora meglio
avere un link a qualche sito dove si spiega proprio il sistema per
installare uno sniffer.
grazie.
--
Alessio

 sniffer... volevo avvertirti così puoi controllare il tuo server!".
L'ideale sarebbe reinstallare _tutto_ e poi sulla macchina pulita
mettere Tripwire che ti permette in modo praticamente certo di tenere
sotto controllo quali files sono stati modificati. Devono mandarti due
gorilla alti 1,85 cm e pesanti 95 kg per levarti  il floppy disk su cui
mantieni il database.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 installare uno sniffer.
per  sniffare un  segmento di  ehternet devi  essere root.  Devi infatti
attivare il  flag promiscous sulla  scheda di rete. Controlla  se esiste
questo flag con netstat (?, non mi  ricordo più se è questo il programma
giusto)
-- 
Non c'è più forza nella normalità: c'è solo monotonia.


----
                          "True programmers never die, 
                           they just branch to an odd address..."

 qualcuno ha installato uno sniffer sul mio server? 
se sono stati poco accorti, allora ti hanno installato uno sniffer
rilevabile facilmente:
fai un ifconfig e vedi se qualche interfaccia sta andando in promiscuos
mode.
Se sono stati piu' accorti, allora e' il caso di rivolgersi a quelli
della l0pth:
www.l0pht.com
 (o con lo 0 o con la O, non ricordo :)
Loro hanno creato degli antisniffer sia per linux che per win.
Se invece non sono stati poco accorti e neanche mediamente accorti,
cioe' se non sono alle prime armi, allora lo sniffer non lo rilevi.
Certo, uno sniffer  attivo presuppone la presenza di un  processo attivo, a
meno che non te lo abbiano incastonato nel kernel, ma ora sto andando a stima.
In ogni caso, followup su it.comp.sicurezza.unix.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Non basta poter dare del tu a chiunque, dobbiamo rivendicare la
  possibilita' di dare dell'io a qualcun altro (L.B.)

per Alvaro de Amicis:
il follow up del mio post era settato su it.comp.sicurezza.unix.
Ti rispondo la.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Sai le risposte a questa domanda?