Newsgroup: it.comp.os.linux.sys
Titolo: Attacco a Linux

Il server che amministro (Linux RedHat) ha subito
un attacco via SSH.
Dopo tale attacco risulta impossibile 'fare login'
come utente root o diventare
root con il comando 'su'.
Ad ogni tentativo nel file /var/log/messages viene
scritta la seguente riga:
PAM_pwdb[4131]: get passwd; pwdb: request not
recognized
Non ho trovato nessun file modificato in data
dell'attacco...
Come devo fare per ripristinare la situazione???
Quali file sono stati interessati dall'attacco???
Grazie a chi possa fornirmi un valido aiuto!!!
Fabio

Il Fri, 24 May 2002 22:58:06 +0200, Fabio ha scritto:
Come prima cosa avvia linux in single mode e modifica la pass di root.
poi fa una verifica degli rpm dei servizi, soprattutto pam e login... 
e aggiorna ssh se non lo hai fatto prima
-- 
| /
| \Byte - Andrea Briganti - 
kbyt...@freemail.it
http://www.kbytesystem.fasturl.it
 ICQ: 40872731
*** Chi non ha rispetto non merita considerazione

 Quali file sono stati interessati dall'attacco???
Questo e' in contrasto con quanto scrivi sopra, infatti..
-- 
- Le scaglie della mia corazza sono come scudi dieci volte piu' potenti
  i miei denti sono spade, i miei artigli lance, lo sferzare della 
  mia coda una saetta, le mie ali un uragano ed il mio alito MORTE !

Avevo il LOG dei trasferimenti FTP alzato, ma non č stato trasferito nulla
sul
sistema...
L'unico inconveniente che ho riscontrato č il login di root.
Ho avviato il sistema in single user, ho aggiornato la password di root, ma
continuo a non poter entrare come root...
Fabio


 continuo a non poter entrare come root...
Vediamo se indovino: wu-ftpd? Probabilmente avranno sfruttato il bug del
giorno. Consiglierei, sia se reinstalli tutto che se riesci a riparare
senza doverlo fare, di usare un altro server piu' affidabile, come per
es. Proftpd


 es. Proftpd
Nein. Se non ti permette il login di root, è l'attacco al BIND 8.2,
buggato. Un simpatico taiwanese, l'anno scorso, si è fatto un giro nel
mio server con quel sistema... :-(
I sintomi erano quelli identici, console con login che non permette il
login di root.
Se controlli, dovresti avere in /etc/inetd.conf una linea aggiunta in
fondo che apre una shell su una porta tcp alta; poi trovi in /tmp un
file con nome tipo r00t , ed eventualmente troverai manomesso anche
/etc/hosts.allow per permettere l'accesso alla shell.
Se i sintomi coincidono, hai "vinto" l'attacco al BIND che ho vinto io.
Soluzione: reinstalla tutto, poi aggiorna il BIND alla 9.1, ma
soprattutto BLINDA la porta 53 dall'esterno con ipchains (iptables),
e per pura paranoia, fa in modo che BIND ascolti solo sulla LAN :-)
Condoglianze per il sistema... :-(
-- 
Massimo Bacilieri AKA Crononauta 
mailto:
ulib...@libero.it
 ; ICQ:4005815
+++ antispam: l'indirizzo mittente è alterato; usare quello qui 
    sopra indicato se mi si vuole rispondere in posta.

I sintomi sono uguali ma non trovo gli stessi riscontri sui files...
Sembra che l'unico danno sia il malfunzionamento della shell di root.
CMQ è entrato da SSH !!!
L'FTP era chiuso sul firewall quindi non ha potuto trasferire ed installare
nulla...
Cosa ha modificato per disabilitare la shell di root ???


 Condoglianze per il sistema... :-(
E buon lavoro, aggiungo...


 Il server che amministro (Linux RedHat) ha subito un attacco via SSH.
[...]
formatta, reinstalla, ripristina i dati e la configurazione da un 
backup sano. Non perdere tempo a cercare di aggiustare
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.19. C, C++ and ASM developers
                              and beta testers are welcome!

backup sano. Non perdere tempo a cercare di aggiustare
Ciao,
scusa ma non sono d'accordo, se non riesce a capire cosa gli e'
successo chi gli garantisce che non sara' vulnerabile anche per il
futuro?
Reinstallazione da backup o da sistema patchato si', ma solo dopo aver
investigato.
Tutto IMHO naturalmente. :-)
A presto
--
Stefano Orsi
Email: biv2533 chiocciola yahoo punto it
* Attenzione il campo from contiene un indirizzo di email che non leggo mai! *
*  se proprio volete inviarmi un messaggio privato usate la email qui sopra   *

 futuro?
ad esempio aggiornare tutto alle ultime versioni? iscriversi a Bugtraq?


 Cosa ha modificato per disabilitare la shell di root ???
/etc/passwd?
potrebbe anche essere una cosa non voluta (problemi di compatibilita` tra
il rootkit installato e il pam della tua macchina, ad esempio)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

ad esempio aggiornare tutto alle ultime versioni? iscriversi a Bugtraq?
Anche questo era sottinteso, ma la soluzione di formattare non mi
sembra comunque una buona soluzione, senza aver capito almeno cosa e'
successo.
Poi si sono situazioni nelle quali non se ne puo' fare a meno. :-(
Inoltre non dimentichiamo che anche l'esperienza ha la sua importanza,
per cui capire dove si e' sbagliato puo' sempre essere utile per il
futuro. ;-)



Hmmm... e se è entrato e ha fatto un ftp inverso? e se si è trasferito 
la roba con un sftp? con netcat? con una socket?
Se non hai un db coi crc dei binari del sistema (rigorosamente da 
un'altra parte, obviously), non puoi avanzare alcuna ipotesi di cosa 
effettivamente ci sia di ok sul tuo sistema.
byez
-- 
Emanuele "SKULL" Balla
----------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for. I 
only coded it." (Attributed to Linus Torvalds, somewhere in a posting)

 Quali file sono stati interessati dall'attacco???
forse uno solo: il kernel