Newsgroup: it.comp.os.linux.software
Titolo: Chkrootkit.

Ciao a tutti.
Ho fatto un controllo lanciando chkrootkit ( uso knoppix ).
Sono comparsi questi due messaggi:
1) /usr/bin/strings :  warning: is not an ordinary file.
   ho provato ad aprirlo e compare :
   - non e' un file di testo -
2) checking "bindshell" INFECTED ( PORTS: 1524 31337 )
Cosa devo fare ?
Ciao e grazie.
--
"The answer my friend,
is blowin' in the wind."
               [B.Dylan]

 Cosa devo fare ?
Capire cosa ti dice il programma.
Davide
-- 
Robert Tappen Morris, Jr., got six months in jail for crashing 10
percent of the computers that Bill Gates made $100 million crashing last 
weekend.

 Ciao e grazie.
Anche a me da lo stesso risultato, hai capito qual'e' il problema?

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
snowhite wrote:
| Ciao a tutti.
| Ho fatto un controllo lanciando chkrootkit ( uso knoppix ).
| Sono comparsi questi due messaggi:
|
| 1) /usr/bin/strings :  warning: is not an ordinary file.
|    ho provato ad aprirlo e compare :
|    - non e' un file di testo -
|
| 2) checking "bindshell" INFECTED ( PORTS: 1524 31337 )
|
| Cosa devo fare ?
Installa "lsof".
Poi scrivi:
lsof -i :1524
e scrivi qui l'output
poi ripeti così:
lsof -i :31337
Se non hai lsof copia qui l'output di
netstat -ntupl
Ciao,
~  Luca
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
Comment: Using GnuPG with MultiZilla - 
http://enigmail.mozdev.org
iD8DBQFB6+4zliez+Z59f3URAqYyAJ9dSoJnxjJCFbv9jXPtTHwCupMRsgCfSKWJ
MGd3NlE6ihmCAPDNUGuI9rU=
=eVYp
-----END PGP SIGNATURE-----

 lsof -i :31337
Ciao, credo di aver capito ... Io ho installato portsentry, e questo
programma lascia intendere, a chi mi "esplora", che ci sono delle porte
in ascolto, ma e' uno specchietto per le allodole .... Le due porte 1524
e 31337 non sono affatto aperte; pero', quello che non capisco e' quel 
INFECTED ...
E per il punto 1) sai aiutarmi con qualche indicazione ?
Ciao e grazie per l'aiuto. 
-- 
"If it's a problem, there is a solution.
 If there is no solution, it's not a problem."

 e 31337 non sono affatto aperte; 
Strano, portsentry da quel che ricordo e` solamente un rilevatore di
portscan, non una honeypot.  Come fai ad essere sicuro che quelle
porte siano chiuse?
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 
Confermo e' esattamente la stessa cosa che capita anche a me dopo che
installo portsentry.
Se fai un nmap vedi che quelle porte, la 12345, ecc. risultano in ascolto ma
in realta' non c'e' nessuno in ascolto su quella porta.
Sinceramente non so perche' portsentry faccia cosi'.

 porte siano chiuse?
Se non fossero in ascolto, come potrebbe fare portsentry a capire quando 
vengono interrogate? :-)

Il Wed, 19 Jan 2005 15:42:13 +0100, nel NG it.comp.os.linux.software, 
Hermooz cosi' parlo':


Pensavo che portsentry lavorasse come tcpdump e non fosse un demone in
ascolto dietro a determinate porte.  Quindi se ne accorgerebbe anche
se le porte fossero chiuse; bpf/pcap vedono tutti i pacchetti che
arrivano su ogni interfaccia di rete, indipendentemente dal fatto che
vengano scartate dal kernel o meno.
Inoltre se come dici tu fosse un demone che ascolta dietro a
determinate porte non potrebbe fisicamente rilevare i portscan a tutte
le porte che gia` sono occupate da un altro demone.


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
snowhite wrote:
| Ciao, credo di aver capito ... Io ho installato portsentry, e questo
| programma lascia intendere, a chi mi "esplora", che ci sono delle porte
| in ascolto, ma e' uno specchietto per le allodole .... Le due porte 1524
| e 31337 non sono affatto aperte; pero', quello che non capisco e' quel
| INFECTED ...
È molto semplice... Chkrootkit controlla che alcune porte che
normalmente sono usate ta Bindshell siano chiuse. Non trovandole chiuse
assume che tu abbia Bindshell installato e quindi ti da quel warning.
Se tu con netstat o lsof puoi escluderlo perché magari tali porte sono
in uso da un altro programma allora sei apposto perché si tratta in
questo caso di un così detto "false positive".
| E per il punto 1) sai aiutarmi con qualche indicazione ?
| Ciao e grazie per l'aiuto.
Non saprei... prova a fare:
ls -l /usr/bin/strings
e copia e incolla qui il risultato.
Comunque NON si tratta di un file di testo, bensì di un programma.
Ciao,
~  Luca
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
Comment: Using GnuPG with MultiZilla - 
http://enigmail.mozdev.org
iD8DBQFB76iVliez+Z59f3URAu4lAKCES2Pc6S2+E4CEpFqyRAX2y2EtxgCgvtxO
dX43ZtmjKuFdLTlFnLGCHGU=
=o1kG
-----END PGP SIGNATURE-----

 tratta in questo caso di un così detto "false positive".
con netstat -ntup non vedo quelle porta ne attive ne in ascolto.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
msan wrote:
| con netstat -ntup non vedo quelle porta ne attive ne in ascolto.
hmmm strano... prova anche con lsof
Comunque ricontrolla anche con chkrootkit... a volte riavviando il PC
alcuni software in ascolto su alcune porte non sono riavviati oppure
usano porte diverse da prima... quindi dovresti usare netstat -ntup solo
quando chkrootkit ti segnala una porta "sospetta" aperta.
Considera inoltre che a volte i rootkit sostituiscono anche i programmi
quali "ps", "ls", "netstat" e altri con versione alterate in modo da non
mostrare i programmi facenti parte del rootkit.
Ciao,
~  Luca
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
Comment: Using GnuPG with MultiZilla - 
http://enigmail.mozdev.org
iD8DBQFB78KUliez+Z59f3URAok2AJ9hgioxt0uGq82Ki1ATGxctcSZ+HQCfXseo
94lUT0Lw89Jn6liLDX7G89A=
=H8zM
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
msan wrote:
| con netstat -ntup non vedo quelle porta ne attive ne in ascolto.
Ah si e aggiungi anche l alle opzioni:
netstat -ntupl
Ciao,
~  Luca
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
Comment: Using GnuPG with MultiZilla - 
http://enigmail.mozdev.org
iD8DBQFB78NDliez+Z59f3URAtfGAKDA8+cYeQvhOiCz/ueAaVtui3V5GACfWkZq
02SDS0HCpf3HcAkXYTyQLjQ=
=wqbC
-----END PGP SIGNATURE-----

 netstat -ntupl
Fatto, non cambia niente, quelle due porte cosi' come altre non ci sono
nell'output di netstat.
Forse sono, diciamo cosi', porte fittizie, create da portsentry.

 Forse sono, diciamo cosi', porte fittizie, create da portsentry.
Alla fine mi avete costretto a installare il programma e a leggere la
docu ed e` tutto scritto e spiegato in modo molto chiaro.
In ogni caso mi chiedo come sia possibile installare un hids/nids
senza leggerne la documentazione, sono cose che proprio non capisco.
Nel mio caso (su openbsd) le porte sono belle e aperte:
[1309][root@carmela:/usr/ports/security/portsentry]# netstat -na | grep 31337
tcp        0      0  *.31337                *.*                    LISTEN
[1309][root@carmela:/usr/ports/security/portsentry]#
