El vie, 10-06-2005 a las 13:49 -0300, Ricardo Frydman escribi�: > -----BEGIN PGP SIGNED MESSAGE----- > Hash: SHA1 > > Nelson wrote: > > Hola me dirijo a ustedes ya que necesito intentar rehacer una escena del > > crimen contra un servidor que fue hackeado :-( > Distribucion? Kernel?Firewall? Paquetes instalados? Servicios que corria?
Distribucion RedHat 9 kernel 2.4.20-8 firewall iptables configuracion basica solo permitia ftp y web paquetes instalados. la base + los paquetes de apache mysql php y pureftpd oficial compilado. PS: se que esta es una lista debian, pero necesito recaudar datos hacerca del tema. es preocupante lo que sucedio. pido disculpas si molesto a alguien. :-) > > > en primera instancia puedo creer que el ataque fue hecho via web ya que > > la maquina en si.. no tiene contacto fisico alguno con el exterior a > > escepcion de http(apache) ftp(pure-ftpd con usuarios virtuales en > > chroot). > > Usuarios virtuales en chroot: podrias ampliarnos el concepto? pure-ftp permite crear usuarios virtuales atados a un grupo existente en la makina sin necesidad de crear el usuario de sistema, solo virtualmente y lo del chroot es que el usuario queda atado netamente a el "home" o directorio que uno establece para su uso al momento de generar el usuario > > Los paquetes instalados eran todos de repositorios oficiales? > > > el sintoma fue claro.. de un 2 por 3 se calleron los servicios de web > > bases de datos ssh y el equipo se colgo.. > > > > fue una gran sorpresa al darme cuenta que cuando inicie la makina en > > modo rescate /var estaba vacio practicamente piendo en un rm > > -rf /var :-(... por ende.. no tengo logs para buscar algun tipo de > > atake.. pero buscando en /tmp encontre algo interezante un archivo > > llamado _conex.pl_ > > > > cuyo contenido muestro aqui. > > > > > [Codigo perl de una puerta trasera] > Lo que entiendo es que te instalaron y ejecutaron un programa para abrir > una puerta trasera....con exito. > Lo que no me queda claro es si para acceder a tu host explot� alguna vuln o > lo hizo desde dentro...en tal caso...como entro? > > Saludos eso es lo que me pregunto yo =/.. lo mas extra�o es.. como llego el exploit ahi. de que forma ya que ni por ssh pudo haber llegado hasta ahi. la maquina esta detras de un router con ip privada solo acediendo a el con redireccion de puertos. > > y me dije que diablos !!!... > > entonces.. me decidi a preguntar a la lista por si alguien mas o menos > > entiende este script o podria decir como funciona.. para tomar > > precauciones en la proxima reinstalacion del servidor. y asi protejer > > mejor los servicios. y claro esta.. asi todos aprendemos un poquito > > mas de seguridad que es tan importante. > > Ojala alguien pueda acalrar un poco mi Duda y asi poder entregar un > > informe claro y Tecnico de lo sucedido aqui. > > > > Atentamente > > Nelson Lopez. > > > > > > > - -- > Ricardo A.Frydman > Consultor en Tecnolog�a Open Source > Administrador de Sistemas > http://www.eureka-linux.com.ar > > > -----BEGIN PGP SIGNATURE----- > Version: GnuPG v1.4.1 (GNU/Linux) > > iD8DBQFCqcSzkw12RhFuGy4RAnKHAJ4ujgjwVWJMWRR6CHi7wzHKZ/33dQCePD4P > 5vvvpYMiqb7AVNXNUepXBBs= > =RIz4 > -----END PGP SIGNATURE----- > > -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
