Newsgroup: it.comp.sicurezza.unix
Titolo: Possibile attacco Hacker aiuto!

Ciao a tutti, un mio amico gestice un server web, ma lui e' molto alle
prime armi sia come amministratore di rete che di sistema. Quindi a
volte lo aiuto in maniera "remota".
Il sistema e' pentium 90 -- 32 mb ram e linux slackware 3.3 con kernel
2.0.29.
La'altro giorno era impossibile accedere tramite telnet e ftp alla
macchina perche' era saltato e fatto ripartire incorrettamente il
inetd daemon. Ho approfitatto del momento per fare un "giro" sulla
macchina e mi sono accorto che c'erano 1 utente "strano": ascii   (
aveva home e aveva shell) ho provveduto a disabilitare la loro shell e
il loro account (per inciso nen c'era nulla nella home) , ho cambiato
le passwd di root e dell'altro utente a ring 0 e ho aggiornato le libc
che erano un po' vecchiotte 5.3.18. Ho aggiornato il kernel a 2.0.33.
Ho controllato i crontab e non c'era niente di strano.
Pensavo di essere piu' tranquillo ma oggi trovo un utente operator con
privilegi di root!!! vi prego aiutatemi, cosa devo fare per rendere
"sicura" almeno in parte la macchina?. Tenete presente che la mia
interazione fisica con il server e' molto limitata.
Come faccio ad avere un log (c'e' qualche pacchetto che mi consigliate
di installare?) di *tutto* quello che avviene sulla macchina? dando
una scorso a /var/log/wtmp non mie ' sembrato di vedere niente di
anormale.
grazie.
Vi prego di mandare i messaggi anche al seguente indirizzo:
fra...@scirocco.unime.it

 anormale.
Attenta al deamon inetd.
Non mi voorei sbagliare, anzi mi vorrei sbagliare, ma e' probabile che
l'utente
(se esiste) sia riuscito a intromettersi nel sistema abbia sostituito il
demone
con uno 'bacato' per far accedere un utente con un login prestabilito come
root.
Controlla o il CRC o la dimensione dell'eseguibile, comunque controlla se
non sia
cambiato in qualche modo.
Dovresti spiegare anche in che senso l'operatore ha privilegi di root. Fa
parte dello
stesso gruppo ? 
Spero di esserti stato d'aiuto.
By..E!!

anormale.
wtmp(x), utmp(x), lastlog, messages, syslog etc. in caso di root
compromise non valgono nulla.  Sono i primi file ad essere
'ritoccati'.
Le cose da fare sono molteplici. 
Usate tcpdump o analogo, installate un firewall, configurate i
tcp-wrappers, bloccate i servizi non indispensabili.... e via cosi'.
Se potete, fatevi aiutare da qualcuno che se ne intende....
Saluti

>volte lo aiuto in maniera "remota".
 vai in single mode
 disabilita tutti i servizi, reinstalla inetd, bash e altro. Lascia disattiva
 ti tutti i servizi tranne quelli relativi alla porta 80. Accedi tramite ssh
 al server, e configurandolo solo per avere accesso da un certo ip, il telnet
 solo da un certo ip interno alla rete locale.
 O se la cosa non e' un grosso problema, reinstalla il tutto (magari metti
 una versione piu' recente) e iscriviti a:
 
BUG...@NETSPACE.ORG
 
 Appena viene fuori un baco, correggilo :-)
 In teoria la persona potrebbe aver sostituito il kernel o chissa cosa, 
 quindi la reinstallazione sarebbe la cosa migliore. Per non interrompere
 il servizio, utilizza un altro PC, mentre compi l'operazione.
-- 
    ol     Carrer Yuri     
    |--
   000 *** WARNING ***   
http://www.dei.unipd.it/~carrery/intro.html
 
http://www.geopages.com/TheTropics/1797/
 Premere "s" per continuare... 

 
fra...@scirocco.unime.it
Ultima cosa : non denunciare l'hacker. la colpa e' del system manager,
non sua. 
spesso non e' il caso di rovinare la vita a un ragazzo minorenne per
una stupidaggine fatta per gioco, non trovi ? :)
altro consiglio : farsi amici questi hackers contribuisce ad accrescere
sia le proprie conoscenze, sia la sicurezza del proprio sistema.
se vuoi si continua in email
-- 
asb...@kyuzz.org
 - PGP key - Mex No (C) for non commercial purpose    ___
pgp fing. 4A FA CC 5E B4 E2 3E 74  44 15 18 69 0B F6 91 D5         |]_(o o)
www.kyuzz.org/asbesto
 - 
www.kyuzz.org/radiocybernet
                |/--==='
Member of SPUTNIK - Sicilian Linux User Group                          Z B

sia le proprie conoscenze, sia la sicurezza del proprio sistema.
Se volessi accrescere le mie conoscenze in campo di network security
non e' a questo tipo di  "hacker" che mi rivolgerei, visto che non mi
pare abbia dimostrato grande competenza e padronanza della materia.
Il modificare file di sistema come /etc/passwd, l'installare rootkit e
soprattutto rientrare senza accorgersi di essere stati individuati e'
sinonimo di wannabe.  Questa tipologia di "hacker" e' di solito
considerata decisamente pericolosa, perche' e' quella che non si rende
conto di chi ha di fronte e spesso si incapponisce su obiettivi fuori
dalla propria portata.  Sono inoltre piuttosto vendicativi, non
esitano a rimuovere interamente il sistema se in preda a furore,
panico o peggio noia.
Saluti

'ritoccati'.
Guarda anche nella directory /usr/adm/sys.A volte,a seconda della
configurazione del syslog,c'e  un file che si chiama "notice" che
logga tutti i comandi impartiti dal ftp(cd,ls,del,etc...)
Di li forse puoi notare qualcosa....

 considerata decisamente pericolosa, perche' e' quella che non si rende
ma che pericolosa. per favore. basta un backup giornaliero e fine del 
pericolo
-- 
asb...@kyuzz.org
 - PGP key - Mex No (C) for non commercial purpose      ___
pgp fing. 4A FA CC 5E B4 E2 3E 74  44 15 18 69 0B F6 91 D5           |]_(o o)
www.kyuzz.org/asbesto
 - 
www.kyuzz.org/radiocybernet
                  |/--==='
Computer Security Consultant - Member of SPUTNIK Sicilian Linux Group    Z B

Gli altri vecchi gli ho testati ma non vanno.
se non li testi sul SUO sistema non puoi affermare che non vadano.
A seconda dei packages installati (e relative versioni) "potrebbero"
avere problemi anche samba, imapd, innd, perl, filter, deliver,
sendmail, elm, xlock, cgi-bin vari etc..
A parte questo,  puo' anche darsi che la root compromise sia avvenuta
mediante banalissimo password sniffing lungo la strada.  
Saluti

sendmail, elm, xlock, cgi-bin vari etc..
Sei concorde con me nel fatto che quando vengono distribuite,le varie
copie della SlackWare 3.3 siano identiche tra di loro???
Si?? Bene,allora se lei ha la Slack 3.3 e ce l'ho anch'io,per quale
motivo se gli exploit non vanno sul mio, devono andare sul SUO???
Io non ho patchato niente,ho la slack 3.3 originale senza l'aggiunta
di qualsiasi pacchetto applicativo che non fosse presente all'interno
della distribuzione stessa.Se anche lei non ha apportato modifiche ai
programmi contenuti nella distribuzione,stai pur certo che come non
girano sul mio non girnao nemmeno sul suo e nemmeno su altre Slack 3.3
originali.
Si puo' parlare di exploit per alcune versioni di alcuni programmi ma
non per distribuzioni....
Infatti,se prendi il PING della slack 3.0 lo metti root root e bit
SUID attivo,poi prendi l'exploit ci cambi la riga di esecuzione in
modo che esegua il ping vecchio,lo compili e lo lanci,rooti anche
sulla slack 
3.3.Ma
 la distribuzione non c'entra niente....
Ciao


exploit sono per quella distribuzione.
Si,ovviamente se non accade che 2 slack 3.3 abbiano 2 versioni
differneti di un certo software.....
Quindi anche in questo caso l'affermazione e' un po' troppo
generalizzata.
Cmq,va bene.......

sulla slack 
3.3.Ma
 la distribuzione non c'entra niente....
Stiamo dicendo le stesse cose. Gli exploit sono per certe versioni del
sw e per certe configurazioni. Il fatto che queste versioni siano
installate di default in certe distribuzioni porta a dire che quegli
exploit sono per quella distribuzione.
Ciao

 comporti necessariamente il cambio del numero di versione.
Se e' cosi' ecco un ottimo motivo per *non* usare slackware
ciao, Roberto 
-- 
The sticker on the side of the box said "Supported Platforms: Windows 95,
Windows NT 4.0, or better", so clearly Linux was a supported platform.