Linux Forum — Взломали сервер

Re: Взломали сервер

2012-03-26T12:58:53Z

Saimson пишет:

Полную переустановку делать затруднительно, так как сервер обслуживает колл-центр на нем торчит Астериск, а пропускать звонки недопустимо

вы мне расскажите, если у вас HDD сдохнет, то что вы делать будете? Вешаться? Или он у вас вечный?

Rassol2 пишет:

возможно ли записать в этот файл какой то код который при вызове этого скрипта от рута создаст нового пользователя с максимально приблежеными правами к root ?

можно скопировать строчку из /etc/passwd которая root, сменив там root на xxx. Получим нового юзера xxx с правами рута. Одна sed команда, которую я буду выдавать только лично, во избежание.

Rassol2 пишет:

а затем собственно смогут овладеть машиной. Это возможно ?

Rassol2 пишет:

есть скрипт с правами 777 и пользователь root:root

ты и так уже имеешь машину по полной программе.

gramozeka пишет:

ну при наличии долбанутого админа в комплекте с этим скриптом можно конечно

причём тут админ-то? Если есть права рута???

Rassol2 пишет:

есть у когото подобный скрипт?

есть, только он не поможет. Это тоже самое, что дать кому-то права рута.
В данном случае, при стандартной модели Linux прав, есть только один вариант - создать юзера, и дать ему доступ к каким-то командам через sudo. Только тут надо учитывать, что этот юзер может всё перенастроить, если ему дать доступ к редактору (любому), или к команде(любой), которая может вызвать редактор. А таких команд 99%.

Re: Взломали сервер

2012-03-23T17:10:30Z

Ну ладненько, поищу где нибудь, все таки вещь в хозяйстве не лишняя.

Re: Взломали сервер

2012-03-23T15:36:53Z

Rassol2, какие благие, больше похоже на взлом. Создать пользователя с правами рута на чужой машине, получить доступ, не взлом? :o

Re: Взломали сервер

2012-03-23T15:08:04Z

gramozeka, нет что бы помочь человеку с благими намерениями.
А вообше нужен раздел по безопасности и уязвимостям.

Re: Взломали сервер

2012-03-23T13:34:23Z

Rassol2 пишет:

есть у когото подобный скрипт?

Консоль:

$ man bash

wink

Re: Взломали сервер

2012-03-23T09:42:11Z

gramozeka пишет:

Rassol2 пишет:
а затем собственно смогут овладеть машиной. Это возможно ?
ну при наличии долбанутого админа в комплекте с этим скриптом можно конечно :lol:

есть у когото подобный скрипт? :rolleyes: далбанутых админов я уже наше. Да и сам недалеко ушел ))

Re: Взломали сервер

2012-03-23T01:57:47Z

Rassol2 пишет:

а затем собственно смогут овладеть машиной. Это возможно ?

ну при наличии долбанутого админа в комплекте с этим скриптом можно конечно :lol:

Re: Взломали сервер

2012-03-22T23:10:02Z

вот к теме вопрос.
есть скрипт с правами 777 и пользователь root:root
возможно ли записать в этот файл какой то код который при вызове этого скрипта от рута создаст нового пользователя с максимально приблежеными правами к root ?

а затем собственно смогут овладеть машиной. Это возможно ?

Re: Взломали сервер

2012-03-22T21:46:19Z

Нашел выход с сложившейся ситуации, возьму соберу такой же сервер на другой машине и в течении "надеюсь" малого времени гдето глубокой ночью быстро заменю сервера. Дабы сэкономить время простоя. smile Всем спасибо за помощь и разяснения! Тему можно закрывать! wink

Re: Взломали сервер

2012-03-22T20:23:45Z

Saimson пишет:

gramozeka ты настаиваеш всетаки на переустановке? в ручную искать что где не стоит?

искать черную кошку в темной комнате, когда может оказаться что её там просто нет - лишняя трата времени. По мне так проще в тыщу раз - сменить диск с скомпрометированной системой(для тщательного и всестороннего расследования инцидента и извлечения необходимых данных(базы, конфиги и т.п.) ), установка чистого носителя, установка системы и соответствующего софта - займет в самом дремучем случае часа три-четыре(а при наличии нормального канала и того меньше). Всё таки это стоит тех нервов и изжоги коих можно огрести если вообще ничего не делать. Когда работа сервера будет восстановлена, можно будет спокойно и обстоятельно исследовать как и благодаря чему произошло то, что произошло, ну и выводы сделать соответственно, с занесением в личное дело. Ничто так не продлевает сон админа, как вовремя и правильно сделанный бекап wink

Re: Взломали сервер

2012-03-22T19:00:44Z

gramozeka пишет:

Слив данных конкурентам, рассылка спама, попадание в "черные списки", стопицот других вариантов злонамеренного удаленного доступа

Сервер может работать в локальной сети, вариант просто запретить ему ходить в облако?? Или все-же собирать сервер с бэкапов?

gramozeka ты настаиваеш всетаки на переустановке? в ручную искать что где не стоит?

Re: Взломали сервер

2012-03-22T18:31:42Z

Saimson пишет:

вот только одного немогу понять зачем было злоумышленикам менять пароль для root и остальных пользователей в системе?

ну как вариант продемонстрировать себя, хотя тупость школоло тоже исключать нельзя...

Saimson пишет:

Полную переустановку делать затруднительно, так как сервер обслуживает колл-центр на нем торчит Астериск, а пропускать звонки недопустимо

оставлять это всё "как есть" тоже нельзя ибо этим самым компрометируется вся система целиком. Неужто нет бекапов? Или руководство настолько упорото что забивает на безопасность ? Слив данных конкурентам, рассылка спама, попадание в "черные списки", стопицот других вариантов злонамеренного удаленного доступа - вас это не испугивает ? Ну тогда вы чертовски фееричные парни - я бы не стал в такой компании работать даже дворником wink .
Данный случай, с точки зрения безопасности IT-инфраструктуры, есть вопиющий форс-мажор за который ~~при Петре пороли ботогами досмерти~~^наказывать надо по самое-нехочу, абсолютно не важно чем там занимается колл-центр(да пусть хоть "секасом-по-телефону" и продажей модных страпонов со стразиками).
[дальше моё ИМХО]
как это выглядит с точки зрения злоумышленников :
1. Получен доступ к более-менее мощному серверу .. --- Ура товарищи !!! сейчас мы их поимеем как больших.
2. Ставим шпионский модуль(да хоть и самописный), как вариант - патченный inetd или любой другой из /bin /usr/sbin , а лучше пару тройку, чтобы он, первое - получал пароли(и\или ключи) пользователей системы, второе - отправлял их по нужному адресу.
3. Чистим за собой всё что можно, проверяем работоспособность, подкидываем горе-админу приманку в виде специально приготовленного .bash_history и меняем пароли, чтобы он(админ тобишь) засуетился..
4. Ждем пока он среагирует и успокоится, после, получив новые пароли(и ключи тоже) спокойно имеем свой профит...

Re: Взломали сервер

2012-03-22T18:00:35Z

newzenon пишет:

chkrootkit, rkhunter - запустить не помешает

Запустил rkhunter вот что он мне ответил

+ открыть спойлер

[19:27:12] System checks summary
[19:27:12] =====================
[19:27:12]
[19:27:12] File properties checks...
[19:27:12] Required commands check failed
[19:27:12] Files checked: 133
[19:27:12] Suspect files: 4
[19:27:12]
[19:27:12] Rootkit checks...
[19:27:12] Rootkits checked : 244
[19:27:12] Possible rootkits: 0
[19:27:12]
[19:27:12] Applications checks...
[19:27:12] Applications checked: 6
[19:27:12] Suspect applications: 3
[19:27:12]
[19:27:12] The system checks took: 2 minutes and 34 seconds
[19:27:12]
[19:27:12] Info: End date is Thu Mar 22 19:27:12 EET 2012

Вот где нашел Warning

+ открыть спойлер

[19:24:47] Warning: Checking for prerequisites [ Warning ]
[19:24:47] Warning: Checking for prerequisites [ Warning ]
[19:24:48] The file of stored file properties (rkhunter.dat) does not exist, and should be created. To do this type in 'rkhunter --propupd'.
[19:24:48] Info: The file properties check will still run as there are checks that can be performed without the rkhunter.dat file.
[19:24:48]
[19:24:48] Warning: WARNING! It is the users responsibility to ensure that when the '--propupd' option
is used, all the files on their system are known to be genuine, and installed from a
reliable source. The rkhunter '--check' option will compare the current file properties
against previously stored values, and report if any values differ. However, rkhunter
cannot determine what has caused the change, that is for the user to do.

[19:24:48] /usr/sbin/adduser [ Warning ]
[19:24:48] Warning: The command '/usr/sbin/adduser' has been replaced by a script: /usr/sbin/adduser: a /usr/bin/perl script text executable

[19:24:51] /usr/bin/ldd [ Warning ]
[19:24:51] Warning: The command '/usr/bin/ldd' has been replaced by a script: /usr/bin/ldd: Bourne-Again shell script text executable

[19:24:55] /usr/bin/lwp-request [ Warning ]
[19:24:55] Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: a /usr/bin/perl -w script text executable

[19:25:01] /bin/which [ Warning ]
[19:25:01] Warning: The command '/bin/which' has been replaced by a script: /bin/which: POSIX shell script text executable

[19:27:07] Checking if SSH root access is allowed [ Warning ]
[19:27:07] Warning: The SSH and rkhunter configuration options should be the same:
[19:27:07] SSH configuration option 'PermitRootLogin': yes
[19:27:07] Rkhunter configuration option 'ALLOW_SSH_ROOT_USER': no

[19:27:11] Checking version of GnuPG [ Warning ]
[19:27:11] Warning: Application 'gpg', version '1.4.10', is out of date, and possibly a security risk.
[19:27:11] Info: Application 'httpd' not found.
[19:27:11] Info: Application 'named' not found.
[19:27:11] Checking version of OpenSSL [ Warning ]
[19:27:11] Warning: Application 'openssl', version '0.9.8o', is out of date, and possibly a security risk.

[19:27:12] Checking version of OpenSSH [ Warning ]
[19:27:12] Warning: Application 'sshd', version '5.5p1', is out of date, and possibly a security risk.
[19:27:12] Info: Applications checked: 6 out of 9

Re: Взломали сервер

2012-03-22T17:50:50Z

gramozeka пишет:

т.е. что такое .bash_history и зачем его чистить они знают, а то что осталось вполне может быть оставлено сознательно, с целью отвлечь внимание.( я бы так и сделал ) . Все же полная переустановка в данном случае предпочтительней.

Полную переустановку делать затруднительно, так как сервер обслуживает колл-центр на нем торчит Астериск, а пропускать звонки недопустимо

вручную, повтори всё что было сделано, этим получишь исходники смотри какие там файлы :

Потом каждый полученый фаил искать find-ом и все что будет найдено в системе убивать?

т.е. что такое .bash_history и зачем его чистить они знают, а то что осталось вполне может быть оставлено сознательно, с целью отвлечь внимание.( я бы так и сделал )

очень даже возможно, вот только одного немогу понять зачем было злоумышленикам менять пароль для root и остальных пользователей в системе? oO
Если бы они это не сделали, неизвестно когда бы я взлом заметил..

Re: Взломали сервер

2012-03-22T13:26:48Z

Там кстати в архивах бинарники и что они творят не известно.
chkrootkit, rkhunter - запустить не помешает, clamav попробовать пройтись, хотя это не вирус. wink