Newsgroup: it.comp.sicurezza.unix
Titolo: Aiutooooo, un hacker !!

La mia Linux box (Mandrake 7.0) , su cui gira il firewall della rete
interna, è stato attaccato. Chi è entrato (se è entrato) ha usato il bug del
wu-ftp (lo so che non dovevo avere il ftpd attivo sul firewall ... ma non
avevo ancoraq finito di configurarlo).
Cosa posso fare ora?
In particolare, come faccio a sapere se l'hacker è riuscito a entrare nel
sistema?
è possibile vedere se ha lasciato eventuali backdoors?
quali azioni devo intraprendere per riportarmi in condizioni di sicurezza?
(re-installare tutto?)
Ciao e Grazie,
F


Un bel format (ooppps:e2fsk) e poi reinstall
-- 
Tagliaferri Roberto
r.tagl...@tosnet.it

 ha scritto nel messaggio
news:39A5217E...@tosnet.it...


 Ciao
Ti merita comunque ricompilare, magari ti esporti la configurazione e
poi ricompili
-- 
Tagliaferri Roberto
r.tagl...@tosnet.it

 Un bel format (ooppps:e2fsk) e poi reinstall
io mi auguro che questa risposta sia una battuta. 
Per vedere se ti ha lasciato delle backdoor fatti un nmap sul computer
che ti fa da gateway e vedi se hai roba strana.
Poi cambiati le password se hai attivi servizi come telnet o ssh o ftp
(e quest'ultimo mi sa di sì d quello che hai scritto).
-- 
Non c'è più forza nella normalità, c'è solo monotonia.

 io mi auguro che questa risposta sia una battuta. 
Se la macchina non e` di vitale importanza, temo sia una ottima idea.
Certo, puoi usare rpm o dpkg o che altro per controllare che gli
eseguibili non siano stati sostituiti da un rootkit e poi analizzare
il sistema un millimetro alla volta, ma a livello di tempo e` probabile
che ricominciare da zero sia la cosa migliore (specie se si e`
principianti e se l'uptime della macchina non e` fondamentale).
In alternativa si puo` sempre vivere nel terrore, pero`... :-)
-- 
Cinereview: Final Destination.  Abbastanza fetente.  Voto: 5  _/Davide\_
Scream 3: non male, buono quasi quanto il primo.  Voto: 7.5   \Alberani/
http://digilander.iol.it/alberanid/
         ICQ UIN: 83641305

 Non c'è più forza nella normalità, c'è solo monotonia.
Mi sa che ci mette meno a usare la soluzione "brute force" di cui sopra
:(
-- 
Tagliaferri Roberto
r.tagl...@tosnet.it

 In alternativa si puo` sempre vivere nel terrore, pero`... :-)
mmm, mi sa che hai ragione. Ripensandoci potrebbero essere stati
cambiati i comandi......
Allegria: formatta e reinstalla!
(però, cazzarola, non mi aspettavo di rivedere questo motto anche sotto
linux :-O )


 F
Non e' semplice 'a posteriori' determinare se qualcosa e' stato
modificato nel sistema.
Se stavi ancora finendo di riconfigurare il firewall, tutto sommato ti
converrebbe reinstallare tutto. 
Magari, prima di riattivare la connessione, fai un check sulla
sicurezza, sia dal punto di vista della configurazione che dei bug
(verifica i patches disponibili e upgrada l'upgradabile). 
Per rispondere alla domanda iniziale, una strategia possibile e' quella
di installare un pacchetto tripwire-like (tipo 'aide', ad esempio).
auguri,
	vanni

 
Ciao,
mi hai terrorizzato , di che bug parli ?
anche io uso wu-ftp (da poco)....
Grazie mille!

 cambiati i comandi......
o cambiate le utility che usi per controllare che tutto sia a posto
;) bisognerebbe, credo, aver fatto da poco un aggiornamento del db di
tripwire e vedere se sono cambiati file sospetti. e poi formattare
tutto cmq eheheh
-- 
nebbia

 linux :-O )
Avresti potuto evitarlo avendo usato preventivamente un sistema come
tripwire che ti consente di accorgerti di eventuali pacchetti modificati
rispetto all'installazione iniziale. Con quello e' piuttosto rapido
reintallare solo il necessario, nel caso invece credo ci sia poco da
fare.
Ciao
-- 
Simone Piccardi
Microsoft is NOT the answer. Microsoft is the Question.
The answer is: "NO!"

 anche io uso wu-ftp (da poco)....
Da quanto poco? l'ultimo e' di qualche mese fa. Su
http://www.securityfocus.com/
 trovei le info e sul sito della tua
distribuzione dovresti trovare gli upgrade all'ultima versione (se c'e'
bisogno di upgrade).


 Allegria: formatta e reinstalla!
Una volta che si e` presa confidenza col sistema e la si e` piantata
di fare esperimenti in teoria si puo` vivere un po' piu` tranquilli:
un firewall ben configurato, un sistema *minimo* aggiornato seguendo le
varie mailing list sulla sicurezza, un NIDS per i paranoici, tripwire,
una discreta conoscenza della sicurezza nel suo insieme e i problemi
dovrebbero essere decisamente minori.
Qui e` solo una questione di tempi: alle prime armi fai *molto* prima
a radere al suolo senza spendere giorni per l'autopsia del sistema, che
andando a ravanare in cose che evidentemente ancora sono poco chiare.
Poi grazie al cielo parlo dal basso della mia connessione dial-up di
scarsissimo interesse per i "cattivi". :-)
-- 
apt-get install un-milione-di-euro                            _/Davide\_


 fare.
bello questo tripwire. E' gpl? c'è in debian?


 c'è in debian?
$ apt-cache pkgnames | grep tripw
tripwire
-- 
Cinereview: La sposa di Chucky: buoni effetti speciali,       _/Davide\_
neanche male il plot; non e` horror, ma diverte.  Voto: 6.5   \Alberani/


 Se non sbaglio lo e` diventato.
Beh, per restare in debian e' ancora nei non-free (ma c'e' pure mysql),
avevo sentito dire anche io che avrebbero fatto il passaggio, ma lo
hanno gia' fatto?


varie mailing list sulla sicurezza, un NIDS per i paranoici, tripwire,
NIDS? Cos'e'?
-- 
GHERdO, happy linux user.

 apt-cache search tripwire
tripwire - A file and directory integrity checker.
-- 
	     .
 ____      _ |   UIN:82766812  
|_\|_)  /o( -*-. Fiat500Web: 
http://www.poli.studenti.to.it/~f.sirna
 
|  \ \|\||_) |   mailto: farnis(at)libero(dot)it 
------------ .   On a 486DX/133 with Linux Debian 2.2 (Woody)

 Se non sbaglio lo e` diventato.
no, è sotto non free. La mia debian è aggiornata a un mese fa, non so se
è cambiato intanto.



