Newsgroup: it.comp.sicurezza.unix
Titolo: E' stato solo un Dos o...

Allora: ho una linux box con samba-apache-mysql con collegamento internet
adsl e una lan interna su due schede di rete differenti.
Stasera ad un certo punto non riuscivo più a connettermi con sssh, allora
sono andato sulla macchina "fisicamete" e non riuscivo manco a loggarmi:
messaggi di error riguardanti glibc.
Tra l'altro un port scanning da grc mi dava la 80 aperta il che non è
possibile xchè io l'ho deliberatamente chiusa e fino a acualche giorno fa lo
era ancora.
Vabbò, resetto, riparte tutto, grc mi dà tutto chiuso, per curiosità vado in
/var/log/messages e mi becco un nobody un'oretta prima del blocco...vai di
tripwire e mi ritrovo con quasi tutti i file e i log cambiati.
Ok, per i log che cambiano, ma i file in /bin e le librerie.....però
dall'ultimo update di tripwire ho installato un paio di rpm..quindi non l'ho
preso sul serio al 100%, ma al 99 SI !!
Non penso che con un solo rpm di samba cambi il pianeta intero !!
Vado di log, e trovo un'intera giornata di tentativi da parte di code red et
simila di infettarmi apache DA IP ESTERNI (questo 2 giorni fa, poi niente)
Passata del sistema con chkrootkit, non trova niente..
Ora, mi hanno stuprato la macchina definitivamento o sono solo riusciti a
farmi un DoS  ?

 ha scritto nel messaggio
news:1DEJ7.2793$A6.1...@news2.tin.it...
Dopo essermi smazzato tutta la dir /var/log e oltre, in /var/log/warn ho
beccato il colpevole:
Nov 18 00:15:16 linux sendmail[2382]: gethostbyaddr(X.X.X.116) failed: 1
Nov 18 01:17:11 linux sshd[2572]: PAM unable to
dlopen(/lib/security/pam_unix.so)
Nov 18 01:17:11 linux sshd[2572]: PAM [dlerror: symbol fgets_unlocked,
version GLIBC_2.1 not defined in file libc.so.6 with link time reference]
Nov 18 01:17:11 linux sshd[2572]: PAM adding faulty module:
/lib/security/pam_unix.so
Nov 18 01:17:38 linux sshd[2573]: PAM unable to
dlopen(/lib/security/pam_unix.so)
Nov 18 01:17:38 linux sshd[2573]: PAM [dlerror: symbol fgets_unlocked,
version GLIBC_2.1 not defined in file libc.so.6 with link time reference]
Nov 18 01:17:38 linux sshd[2573]: PAM adding faulty module:
/lib/security/pam_unix.so
Nov 18 01:19:09 linux sshd[2576]: PAM unable to
dlopen(/lib/security/pam_unix.so)
Nov 18 01:19:09 linux sshd[2576]: PAM [dlerror: symbol fgets_unlocked,
version GLIBC_2.1 not defined in file libc.so.6 with link time reference]
Nov 18 01:19:09 linux sshd[2576]: PAM adding faulty module:
/lib/security/pam_unix.so
Da quello che ci capisco sembra che abbia craccato il modulo PAM e abbia
preso il sistema come root (da un log pare che per fare un boot del sistema
ci abbia impiegato 8 ore..), naturalmente spoofando l'ip del mio modem ADSL
Nov 18 01:30:30 linux mingetty[469]: cannot opendir(/proc/441/fd):
Permission denied
Nov 18 01:30:30 linux mingetty[469]: cannot opendir(/proc/441/fd):
Permission denied
Questa non l'ho capita, se qualcuno sa cosa tentava di fare....
Nov 18 02:35:10 linux sshd[1876]: fatal: Cannot bind any address.
...e stò bastardo voleva pure aprire ssh al mondo intero....
Ora, io quattro regole in croce le ho, ma non contemplano il fatto che
qualcuno possa spoofare l'ip del modem !
Forse è meglio impostare regole ben definite anche per lui ...8°°°-(

 fatto che qualcuno possa spoofare l'ip del modem !
per evitare che mi arrivi un pellegrino con un ip della mia rete
interna (
192.168.2.1/24
 a cui permetto tanto, pure troppo) sul
collegamento isdn (ippp+) io uso questa (e spero che funga ;)
/sbin/ipchains -A input  -i ippp+ -s 
192.168.2.1/24
 -j DENY -l
localhost viene controllato direttamente kernel (almeno quelli
recenti)
-- 
nebbia