Newsgroup: it.comp.os.linux.sys
Titolo: Exploit su server

Salve a tutti.
Ho un problema con una probabile violazione...
Stamane su un server dell'università, ho trovato 22 messaggi di posta 
per root, ogni messaggio conteneva moltissimi 'Unauthorized 
connection...', tutti da indirizzi dell'università ad ore assurde (4 del 
mattino). Credo vi sia stato qualcuno che è riuscito ad intrufolarsi nel 
sistema...
Poichè è la prima volta che ho a che fare con questo problema (è un 
server che ora devo amministrare io, con un sacco di inutili servizi - 
tra cui portmap :( - *inutilizzati* e vorrei montargli la slack 8.1), 
dove posso vedere chi ha tentato l'impresa (o riuscito in essa)? Nei log 
ho trovato un auth.log ed ho trovato un indirizzo IP di una università 
spagnola, ma penso che anche questo IP sia falso, come quelli 
dell'università...
Datemi una mano, non so cosa fare... Da dove comincio poi per rendere 
sicuro il server (oltre a mettere *solo* apache & sshd)?
Spero che qualcuno abbia un po' di tempo e pazienza per spiegarmi 
qualcosa al volo (intanto leggo qualche buon howto... ma l'esperienza 
sul campo è senz'altro migliore).
Grazie ;)


I'm not prejudiced, I hate everyone equally.

 sistema...
Il problema e' che oramai non puoi sapere se sono realmente entrati,
cosa hanno fatto, se hanno lasciato eventuali backdoor per cui qualsiasi
controllo tu facessi sarebbe vano. Ti consiglierei, a questo punto, di
reinstallare tutto daccapo visto che vuoi mettere Slack (io ti
consiglierei invece Debian perche' quantomeno dal punto di vista della
manutenzione e' molto piu' avanti) e da li', partendo da un sistema
pulito puoi fare tuning (Debian mette per default pochissimi servizi,
c'e' portmap e si e no qualche stupidaggine tipo daytime, chargen che si
possono levare in un attimo con un colpo di Vim su /etc/inetd.conf al
contrario di RH e Mandreik che riempiono di servizi inutili). Poi
potresti installare anche tripwire per tenere sotto controllo eventuali
modifiche non autorizzate a qualsiasi file. Ci sarebbe anche LIDS, una
serie di patch al kernel che introducono dei controlli molto rigidi sui
file prescelti impedendone l'accesso persino a root,
Altro al momento non mi viene in mente.
-- 
- Le scaglie della mia corazza sono come scudi dieci volte piu' potenti
  i miei denti sono spade, i miei artigli lance, lo sferzare della 
  mia coda una saetta, le mie ali un uragano ed il mio alito MORTE !

 sul campo è senz'altro migliore).
parole sante... non e` che a te ne manca ancora un pochino di esperienza
per assumerti la responsabilita` di gestire quella macchina?
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 per assumerti la responsabilita` di gestire quella macchina?
Sono un ingegnere informatico, dedicato alla teoria dei codici & alla 
informatica grafica... esatto: mi manca l'esperienza. So tirar su un 
server, ma da qui a renderlo sicuro... acqua sotto i ponti ne passa... ;)

 sicuro il server (oltre a mettere *solo* apache & sshd)?
1. kernel patchato ( 
www.grsecurity.net
 )
2. utilizza la protezione PAX di grsecurity...
3. compila i demoni con aslr (
www.grsecurity.net
 leggi i doc)
4. iptables in policy drop e poi apri le porte che servono
5. utilizza le acl di grsecurity per proteggere i file (tipo /bin /sbin ecc)
io personalmente adotto queste e moolte altre 'tecniche di protezione' e ti 
assicuro che non mi hanno MAI rootato nemmeno da locale (e con le acl 
attive anche se ti rootano dubito che riescano a kittarti o a ficcare dei 
maledettissimi lkm)
ciau