Newsgroup: it.comp.sicurezza.unix
Titolo: Strano

Ultimamente mi è capitato di imbattermi in un server linux.. smanacciando
unpo con i vari servizi mi sono accorto che aveva aperto ftp anonimo
(Version wu-2.6.0).... mi loggo.... cazzeggio un per le dir.... vado in etc:
cd /etc
ls -la
manco un file...... (penso.. normale!!!!!! e mica gli admin sono scemi!!!)
per sfizio mio sparo un ottimo
type binary
quindi
get passwd
et voilà! un simpatico file passwd (shadowato) appare su mio simpatico HD...
Sciallato dalla cosa sparo un
get group
ed ecco apparire pure lui in tutti i sui byte sul mio pc...
Strano?? Voi che ne pensate???
^Zeta^

Strano?? Voi che ne pensate???
Che a seconda del sysadmin, o lui e' un pirlottero, oppure lui sta
ridendo a crepapelle, immaginandoti intento a cercare di decodificare un
paio di filettini messi li' proprio per te.
man chroot, se e' il secondo caso.
bugtraq, se e' il primo.:-)
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

Strano?? Voi che ne pensate???
E' strano sì, perché la medesima operazione a me ha prodotto questo:
$ cat passwd
root:*:0:0:::
bin:*:1:1:::
operator:*:11:0:::
ftp:*:14:50:::
nobody:*:99:99:::
$ cat group
root::0:
bin::1:
daemon::2:
sys::3:
adm::4:
ftp::50:
In pratica ci sono solo gli utenti e i gruppi cui appartiene ftp, cosa che
non ti dice nulla sull'impostazione del sistema, visto che questi utenti
sono necessari per il funzionamento di un server ftp e sono noti da
documentazione.
Se mi sbaglio, ditemelo.
-- 
Crononauta               
==========               | togli 'sse' da ulissebarra | 
ICQ UIN: 4005815         | per rispondermi in  e-mail | 
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.htm
GP Legends: 
http://www.multiplayer.it/driving/

            |roberto poggi  
rpo...@softhome.net
Mi sembra strano! se i filettini sono stati messi apposta per un inesperto
(quale ritengo di essere io!) si dovrebbero vedere facendo ls -la ... o
sbaglio????

On Fri, 19 Jan 2001 20:29:10 +0100, Crononauta wrote:
:>In pratica ci sono solo gli utenti e i gruppi cui appartiene ftp, cosa che
:>non ti dice nulla sull'impostazione del sistema, visto che questi utenti
:>sono necessari per il funzionamento di un server ftp e sono noti da
:>documentazione.
:>
:>Se mi sbaglio, ditemelo.
non ti sbagli, quelli sono solo delle copie, residenti nell'ambiente
creato apposta per l'utente anonymous (es: /home/ftp/etc/passwd).
      Paolo

sbaglio????
Forse, ma potrebbe anche essere il sysadmin, che ha sbagliato e ha
pasticciato con i permessi delle VERE directory di sistema.



Mentre il tuo ip nel log è vero e reale e non hai la pass di root per
andare a cancellarlo =)
Giulio

 sbaglio????
probabilmente la directory etc ha i permessi --x--x--x (111).
In questo modo non si possono elencare i files contenuti (ls non
mostra nulla), ma si possono pur sempre leggere (come conferma il get).
In ogni caso i file passwd e group li' presenti servono solo ad
associare agli id e gid i relativi nomi utente e di gruppo, quando si
fa un ls. Non dovrebbero esserci password o altre informazioni
riservate, a meno che l'amministratore non sia davvero un idiota :)
-- 
addio, e grazie per tutto il pesce

 Giulio
Non credo un admin si prenda la briga di fare storie per una roba simile...
credo ci siano problemi + grandi in un sistema!!!!
^Zeta^

 credo ci siano problemi + grandi in un sistema!!!!
puo' essere, pero con quel get passwd hai tentanto l'accesso non
autorizzato, se fossi io a controllare i log per esempio un po' mi
girerebbero....
-- 
nebbia

 
Il problema non è l'admin, ma tu.
Non ne faccio una critica diretta, ma la prudenza non è mai troppa.
Certe cose non puoi farle pensando che "l'admin è occupato altrove" o un
giorno incontri l'admin che non ha un cazzo da fare e ha finalmente trovato un
passatempo.
Giulio

 girerebbero....
Perche'?
A seconda delle varie versioni di unix le cose possono essere 
variamente diverse, tuttavia se l'utente ftp e anonymous che spesso
e' lo stesso, e' chrootato nella sua home, e' normale mettere 
accessibili copie ridotte e trimmate per lo specifico caso nella home
dell'utente chrootato (o sotto di essa). A questo punto di altosonante
c'e' solo il nome (passwd, appunto) ma messo li' e' e deve essere
leggibile dall'utente, e del resto e' un passwd strippato proprio
perche' l'utente, oltre d doverlo leggere al momento del login, 
potrebbe leggerlo e prelevarlo a suo piacere
Stesso discorso si applica all'utente pippo, se pippo e' chrootato
-- 
Fabbro Claudio - Networking expert since yesterday
Nipotino di Zio Spam, 
http://www.unclespam.org
Vecchia casetta da ristrutturare, per gli amanti 
di aforismi e stupidess: 
http://www.texnet.it/cfabbro
Aderente alla lega per la salvaguardia dei pisolini
:wq
.

On Mon, 22 Jan 2001 05:25:40 GMT, 
ne....@libero.it
 wrote:
:>puo' essere, pero con quel get passwd hai tentanto l'accesso non
:>autorizzato, se fossi io a controllare i log per esempio un po' mi
:>girerebbero....
essendo un accesso anonymous, e avendo ben configurato la macchina, a me
potrebbe solo farmi sorridere :-))
      Paolo