Newsgroup: it.comp.os.linux.sys
Titolo: sfondamento server

Mi hanno gentilmente sfondato uno dei server. Ho spianato e ritirato su il 
backup, perň vorrei capire da dove sono entrati questi signori (anche perché 
li ho beccati mentre stavano facendo qualcosa e lorsignori mi hanno 
gentilmente piallato la lib, con tutto quello che ne consegue)..
Le uniche cose strane trovate nei log (apache) sono delle richieste tipo queste:
access_log:85.121.93.52 - - [08/Apr/2008:13:28:44 +0200] "POST 
/~victor/time.php?&s=r& HTTP/1.1" 200 6072 
"
http://91.102.48.68/~victor/time.php?&s=r&
" "Opera/9.23 (Windows NT 5.1; U; 
en)"
notare che l'utente victor non esiste e apache risponde normalmente a 
quell'ip con la pagina in costruzione standard (non ci sono siti che 
rispondono a quell'ip).
I binari sono patchati (avevo un apache 1.3.27, php 5.2.3, ssh con chiave.. 
L'unica cosa che c'era era la tmp eseguibile ma da qui a scalare i privilegi 
ce ne corre. Kernel 2.6.21.1).
dove posso guardare? Ho googlato per i sintomi e mi rimanda ad un tal trojan 
horse 
iframe.ru
, perň non ne ho trovato traccia sul server
La fopen remota č (giustamente) chiusa, c'č la open_basedir che blocca alla 
directory del sito (+tmp e Smarty)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Don't hate yourself in the morning -- sleep till noon.

 
Ho provato a smazzarli ma sono "tantini".. quella chiamata sembrerebbe (o 
almeno questo pensa mr google) la traccia di quell'hack.. e comunque un 
qualche significato deve averlo: come può una pagina inesistente rispondere 
con 600 byte di roba? ce ne sono diverse e ognuna ha una grandezza diversa 
dalle altre
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Character Density, n.:
	The number of very weird people in the office.

 sempre con 600 byte di roba.
Ma non con ERRcode 200, salvo che lì non ci sia qualcosa che ignoriamo...

 ce ne corre. Kernel 2.6.21.1).
Ma su apache 1.3.27 (vecchiottissimo) non hai mica mod_proxy attivo?
In passato ne hanno usato ed abusato.
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

 
ho scritto male: son 6000 in quella pagina,poi dimensioni diverse
85.121.93.52 - - [08/Apr/2008:12:14:10 +0200] "POST /~victor/time.php?&s=r& 
HTTP/1.1" 200 5826 "
http://91.102.48.68/~victor/time.php?&s=r&cmd=con
" 
"Opera/9.23 (Windows NT 5.1; U; en)"
85.121.93.52 - - [08/Apr/2008:12:14:20 +0200] "POST /~victor/time.php?&s=r& 
HTTP/1.1" 200 48979 "
http://91.102.48.68/~victor/time.php?&s=r&
" "Opera/9.23 
(Windows NT 5.1; U; en)"
85.121.93.52 - - [08/Apr/2008:12:14:49 +0200] "POST /~victor/time.php?&s=r& 
HTTP/1.1" 200 8158 "
http://91.102.48.68/~victor/time.php?&s=r&
" "Opera/9.23 
(Windows NT 5.1; U; en)"
85.121.93.52 - - [08/Apr/2008:12:15:00 +0200] "POST /~victor/time.php?&s=r& 
HTTP/1.1" 200 5732 "
http://91.102.48.68/~victor/time.php?&s=r&
" "Opera/9.23 
(Windows NT 5.1; U; en)"
85.121.93.52 - - [08/Apr/2008:12:15:10 +0200] "POST /~victor/time.php?&s=r& 
HTTP/1.1" 200 5469 "
http://91.102.48.68/~victor/time.php?&s=r&
" "Opera/9.23 
(Windows NT 5.1; U; en)"
85.121.93.52 - - [08/Apr/2008:12:15:36 +0200] "POST /~victor/time.php?&s=r& 
HTTP/1.1" 200 5885 "
http://91.102.48.68/~victor/time.php?&s=r&
" "Opera/9.23 
(Windows NT 5.1; U; en)"
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Bizoos, n.:
	The millions of tiny individual bumps that make up a
basketball.
		-- Rich Hall, "Sniglets"

 
no no.. liscio.
Lo so che è vecchio ma non trovo vantaggi a mettere il 2.0 o 2.2
Eppoi ho cappellato, è la 1.3.37 :)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Wethern's Law:
	Assumption is the mother of all screw-ups.

 Ma non con ERRcode 200, salvo che lě non ci sia qualcosa che ignoriamo...
quella pagina non esiste
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Although golf was originally restricted to wealthy, overweight
Protestants, today it's open to anybody who owns hideous clothing.
		-- Dave Barry

 
l'unica cosa che ho trovato su secunia era un problema sul modulo imap 
([SA28073])
comunque aggiornerò alla 1.3.41..
Continuo a non capire da dove sono entrati.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Happiness is having a scratch for every itch.
		-- Ogden Nash

 
non lo so proprio, anche perché la classica directory public_html non 
esiste, come non esiste quell'utente
Come non esiste da nessuna parte quel file
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Rules:
	(1)  The boss is always right.
	(2)  When the boss is wrong, refer to rule 1.

 
Olè.. un ip da denunciare :)
La risposta giusta è questa: la ~ non esiste e quindi ti faccio vedere la 
paginetta di default
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"I like work ... I can sit and watch it for hours."

 passato ne hanno usato ed abusato.
Negli ultimi giorni ho notato anche io tentativi di intrusione 
(fortunatamente falliti) tramite mod_proxy (che non ho attivato).
Bye.

 Continuo a non capire da dove sono entrati.
Ma che danni ti hanno provocato ? Nella ricerca non ti puo' aiutare 
anche il "tipo" di danno provocato ? Tipo la cancellazione del contenuto 
della /lib come mi sembra tu abbia accennato.
Rizio

 (fortunatamente falliti) tramite mod_proxy (che non ho attivato).
Non e' che sono semplicemente tentativi di usarti come [transparent]
proxy? Mi faresti vedere un paio di log?
Fabio

 trojan horse 
iframe.ru
, però non ne ho trovato traccia sul server
potrebbe anche essere un problema di "cross-site" injection oppure
potrebbe anche essere stato installato un webserver "standalone"
da come l'hai messa è difficile capire; prova prima di tutto a cercare
sul disco usando come "match" qualche nome di file "sospetto", non
mi stupirei se trovassi una corrispondenza all'interno di un unico file
(magari "cicciotto") dall'aspetto innocuo

 
Ci ho pensato anche io, però se c'era un ws aggiuntivo perché c'era il log 
in apache?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"It's Fabulous!  We haven't seen anything like it in the last half an
hour!"
		-- Macy's

Rizio ha scritto:

A occhio erano riusciti a diventare root ma sinceramente non so come.
quelle richieste erano lì da ieri, quindi direi che li ho beccati proprio 
all'inizio e vistosi scoperti han pensato bene di farmi un regalino (come 
quello che ti caca in casa dopo aver rubato)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
If you can survive death, you can probably survive anything.



E` possibile. Questo e` il riassunto di logwatch di ieri:
Connection attempts using mod_proxy:
   207.144.145.30 -> 
http://lti-mail01.ltinetworks.com:25
 : 1 Time(s)
   207.224.139.222 -> 
http://lti-mail01.ltinetworks.com:25
 : 1 Time(s)
   207.42.148.155 -> 
http://lti-mail01.ltinetworks.com:25
 : 1 Time(s)
   207.62.24.198 -> 
http://lti-mail01.ltinetworks.com:25
 : 1 Time(s)
   216.77.82.172 -> 
http://lti-mail01.ltinetworks.com:25
 : 1 Time(s)
   67.131.245.216 -> 
http://lti-mail01.ltinetworks.com:25
 : 1 Time(s)
Uno dei log e`:
65.112.121.19 - - [07/Apr/2008:21:56:06 +0200] "POST 
http://lti-
mail01.ltinetworks.com:25/
 HTTP/1.0" 302 404 "-" "-"
65.112.121.19 - - [07/Apr/2008:21:56:09 +0200] "CONNECT 
http://lti-
mail01.ltinetworks.com:25
 HTTP/1.0" 400 382 "-" "-"
Bye.

 
mail01.ltinetworks.com:25
 HTTP/1.0" 400 382 "-" "-"
Banali spammer. Hanno solo tentato di usare il [vecchio] trucco dello
spam via proxy http.
Fabio

 Eppoi ho cappellato, è la 1.3.37 :)
Allora torniamo all'inizio...
dal php 5.2.0 ci sono due parametri carini:
- allow_url_fopen 
- allow_url_include
oltre al fopen, anche l'include va segato.
Ma per tornare proprio all'inizio, la vera domanda è:
- cosa c'è su quel server ?
  tanti siti o uno ?
- i clienti hanno accesso FTP ?
  Se hanno accesso e si montano un phpnuke (ad esempio), devi guardare li.
- dentro /var/tmp c'è qualcosa ? Di solito in /var ci mettono diverse
cosettine...
Max


 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
You think Oedipus had a problem -- Adam was Eve's mother.

 sei pronto in qualsiasi momento a scollegare immediatamente un server.
non ho mai provato, ma un reboot -now o qualcosa del genere non taglia
quasi istantaneamente le connessioni?
o meglio: quando viene fuori scritto "The machine is reboting NOW!" la
connessione viene tolta subito dopo e nel frattempo non si puo' fare
nulla?
non e' proprio bello, specialmente se si hanno servizi a cui non piace
il reboot, ma meglio che vedersi il server piallato...
Ciao Jack

 non sai al volo quale server e' collegato a quale porta degli switch.
Mah. Sarò anche un'anomalia, ma da me la norma è
- collegare la macchina alla porta
- abilitare la porta sulla VLAN adeguata (di default son disabilitate e 
attestate su una vlan non routata)
- assegnare una description esaustiva (hostname+NIC) alla porta
Questo sia da me (che sarò anche di dimensioni quantomeno modeste), che 
da miei clienti che di CED ne hanno una 20ina, con svariate centinaia di 
porte assegnate a server.
Che tu possa non sapere su quale porta è attestata la workstation di 
Gigi, è un conto. Che tu non lo sappia per i server IMHO è piuttosto grave.
E -sempre IMHO- è tanto più grave quanto più la realtà è grossa...

 grossa...
Kwoto tutto.

 immediatamente un server.
A che ti server uno switch manageable se non sai chi è collegato a cosa?
Ciao, Micky
-- 
What's this hash prompt on my terminal mean?
Micky Del Favero  -  System Manager  &  BOFH

 A che ti server uno switch manageable se non sai chi è collegato a cosa?
Beh, serve anche a *tante* altre cose, direi. :)

 Beh, serve anche a *tante* altre cose, direi. :)
a proposito di "tante altre cose", stavo guardando
questo cosino...
http://www.packetfence.org/
e leggendo un paio di articoli relativi al programma
http://www.linuxjournal.com/article/9551
http://www.linuxjournal.com/article/9894
e ... sembra piuttosto interessante

 e ... sembra piuttosto interessante
Torna sui NG di windows tu! Sennò ti picchio al lavoro :D

 Sennò ti picchio al lavoro :D
naah, meglio un caffè