[quote=aelfwine]Нет, там критичные для конторы сервисы, с чистого листа не проще.
aelfwine написал:
Угу, займусь обновлением софта. А какие сервисы из перечисленного неизвестное? Вроде стандартные...
выделенные... не понял, про что вы...
а вообще, все сетевые сервисы необходимо убить. кроме тех, что вам нужны...
[/quote]
А, просто rkhunter ругается на вполне стандартные сервисы, посчитал что вы о них.
Малые знания линукса пока не дают ответа должны ли висеть и слушать сеть процессы portmap, xinetd, rpc.statd. Гугл просветления пока тоже не дал.
drBatty написал:
[quote=aelfwine]Внедрили. Как - этим топиком и пытаюсь узнать.
тут не топиком надо... никто не знает, что у вас там изменилось...[/quote]
А как? =)
А есть возможность между сервером и внешкой внедрить незаметно компьютер и на нем анализировать кто куда и когда залезал? =).
Все службы выпустить в инет пробросом порта и выискивать среди этого трафика коннекты с левого адреса на ssh или другую службу, к которой доступ только у ваших сотрудников.
aelfwine написал:
Малые знания linuxа пока не дают ответа должны ли висеть и слушать сеть процессы portmap, xinetd, rpc.statd. Гугл просветления пока тоже не дал.
Должны слушать. Правда, если они не требуются другим каким-то службам, то лучше выключить. Например portmap+rpc.statd должны быть запущены, когда мы делаем шару по nfs.
А через xinetd вообще много чего можно наоткрывать. Дайте нам сюда его конфиг на всякий случай.
З.Ы. Вам правильно сказали обновиться, т.к. часть бинарников будет заменена на гарантированно чистые. Только перед этим проверьте пути к репозиториям и pgp-ключи.
Глянул еще раз на вывод chkrootkit, увидел там подозрительные файлы. Посмотрел что за файлы, удивился. В одном из файлов был небольшой список логин/пароль/ip, причем несколько странный. 5 строк с ip шлюза сервера, стоящего в другом городе, логин - root, старый пароль поломанного сервера (в другом городе другой пароль, но этот сервер туда по сертификату ходит). Откуда могла взятся такая конструкция - непонятно (причем наверняка Вам, читающим это, непонятно и написанное мной).
Интересно не только это. Есть там две строки с логином/паролем/ip мне незнакомыми. Попробовал ломануться по ssh и... получилось. Причем последний логин на этот сервер, находящийся в США, был с моего ip.
Что делать с чужими паролями? Сообщать американцам, так понимаю, не надо - не поймут. Родная милиция естественно тоже. Просто забить? Грозит ли мне что-нибудь?
"реально" вам ничего не будет даже если вы там диск форматнете, единственное, если америкосы это к терроризму не приравняют (ну, мало-ли, сервер благотворительной организации окажется) и даже в этом случае, пока в ЕС не выедите, вам не заберут.
Можете провести параллели с сервером на который Вы залезли в Америке со своим, есть что-то схожее? Дистрибутив, ядро может ещё что-то? Какого плана все серверы которые взломали?
offtop: aelfwine, согласен с system-root, у нас большая часть страны дурью мается, Windows ворованный, ничего живут. А при желании наверно стоит написать админу тому письмо.
А, просто rkhunter ругается на вполне стандартные сервисы, посчитал что вы о них.
и о них - тоже. во первых - у вас сервисов слишком много навешано. вы не думали, что есть смысл разделить это всё по отдельным компьютерам? например сделать отдельную файлопомойку на самбе? раз она вам так нужна...
aelfwine написал:
Малые знания linuxа пока не дают ответа должны ли висеть и слушать сеть процессы portmap, xinetd, rpc.statd. Гугл просветления пока тоже не дал.
xinetd нужен для запуска демонов "по запросу". т.е. например если вам нужен FTP, но очень редко, то его имеет смысл запускать только тогда, когда к нему кто-то попросит доступ.
Про остальное уже сказали...
aelfwine написал:
Глянул еще раз на вывод chkrootkit, увидел там подозрительные файлы. Посмотрел что за файлы, удивился. В одном из файлов был небольшой список логин/пароль/ip, причем несколько странный. 5 строк с ip шлюза сервера, стоящего в другом городе, логин - root, старый пароль поломанного сервера (в другом городе другой пароль, но этот сервер туда по сертификату ходит). Откуда могла взятся такая конструкция - непонятно (причем наверняка Вам, читающим это, непонятно и написанное мной).
похоже на информацию о логинах, которую собрал вредоносный скрипт, и хочет отправить хозяину.
aelfwine написал:
Что делать с чужими паролями? Сообщать американцам, так понимаю, не надо - не поймут.
отпишите, если не лень.
PS: вообще закройте доступ root'у по всем сервисам.
на фтп и прочем руту делать нечего, а по SSH вы можете получить права с помощью su или лучше через sudo.
Столько написали даже страшно чёт вставить)
ну как вариант если что-то куда то лезет посмотреть
text
lsof -w -n -i
- далее идти по PID`ам и смотреть какие процессы используют создаваемые файлы.
т.е
lsof -p 8132|grep php
text
lsof -p 8132
ну или какие процессы используют подозрительные файлы.
P.S ну или можно написать простой скрипт который по выводу lsof пройдётся.
P.P.S кстать я тут задумался на тему появления этих фалов, если они появляются можно ли как то отследить по процессам команду с помощью которой они появились?.. желательно с PID, а по этому PID уже смотеть кто его запустил, а потому кто его запустил смотреть какие файлы он использовал и т.д=)
можно ли как то отследить по процессам команду с помощью которой они появились?
можно найти все новые файлы - для этого достаточно найти все каталоги, которые изменились за последние N минут - в них-то и лежат новые файлы. Их также можно отыскать командой find, хотя нет "времени создания", но есть нижняя граница этого времени. а была и ещё какая-то команда для этого... не помню...
Так уж получилось что не был в интернете сутки (есть вещи важнее работы).
Как следствие - пароли не менял, софт не обновлял. Прибил только процессы которые не знал за что отвечают (portmap, xinetd, rpc.statd). Судя по всему не помогло. Файлов новых не появилось, но chkrootkit оказался удаленным.
Всем спасибо за комментарии, продолжу разбираться завтра.
Так уж получилось что не был в интернете сутки (есть вещи важнее работы).
Как следствие - пароли не менял, софт не обновлял. Прибил только процессы которые не знал за что отвечают (portmap, xinetd, rpc.statd). Судя по всему не помогло. Файлов новых не появилось, но chkrootkit оказался удаленным.
Всем спасибо за комментарии, продолжу разбираться завтра.
я тоже не бываю в инете сутками. но то - я. это не относится к моим серверам... они в сети постоянно...
[quote=aelfwine]А, просто rkhunter ругается на вполне стандартные сервисы, посчитал что вы о них.
и о них - тоже. во первых - у вас сервисов слишком много навешано. вы не думали, что есть смысл разделить это всё по отдельным компьютерам? например сделать отдельную файлопомойку на самбе? раз она вам так нужна... [/quote]
Лишнего там - только сервер игрульки, остальное по делу все и кушает ресурсов немного. Для нескольких компьютеров надо больше гарантированного электропитания, а это тоже деньги.
drBatty написал:
[quote=aelfwine]Малые знания linuxа пока не дают ответа должны ли висеть и слушать сеть процессы portmap, xinetd, rpc.statd. Гугл просветления пока тоже не дал.
xinetd нужен для запуска демонов "по запросу". т.е. например если вам нужен FTP, но очень редко, то его имеет смысл запускать только тогда, когда к нему кто-то попросит доступ.
Про остальное уже сказали...
[/quote]
Прибил все незнакомое, оставил только необходимое.
tmp13 написал:
Столько написали даже страшно чёт вставить)
ну как вариант если что-то куда то лезет посмотреть
text
lsof -w -n -i
- далее идти по PID`ам и смотреть какие процессы используют создаваемые файлы.
т.е
lsof -p 8132|grep php
text
lsof -p 8132
ну или какие процессы используют подозрительные файлы.
...
P.P.S кстать я тут задумался на тему появления этих фалов, если они появляются можно ли как то отследить по процессам команду с помощью которой они появились?.. желательно с PID, а по этому PID уже смотеть кто его запустил, а потому кто его запустил смотреть какие файлы он использовал и т.д=)
можно найти все новые файлы - для этого достаточно найти все каталоги, которые изменились за последние N минут - в них-то и лежат новые файлы. Их также можно отыскать командой find, хотя нет "времени создания", но есть нижняя граница этого времени. а была и ещё какая-то команда для этого... не помню...
Тоже интересно. Есть предполагаемая дата взлома, от неё смотрю измененные файлы, подозрительные вещи есть, анализирую.
drBatty написал:
я тоже не бываю в инете сутками. но то - я. это не относится к моим серверам... они в сети постоянно...
А вот этот комментарий непонятен. Сервера то нон-стоп уже третий год, но не силой же мысли рулить.
Напакостили, повредили многое. В конце концов закрыл на маршрутизаторе все соединения к этому серверу, кроме самых нужных портов.
Для взлома использовали в т.ч. N3tshell v. Emp3ror Undetectable #18. Говорит кому-нибудь название?
Жизнь на сервере тем не менее осталась, порой появляются исходящие соединения с сервера от процесса "-", но без pid. Как это может быть? Например:
netstat -lpn
это типа что-то куда то копируется?)
ещё по поводу паролей рута и т.д
Файлов новых не появилось, но chkrootkit оказался удаленным.
и вроде выше вы писали что пароль рута поменяли (как мне кажется).
Мб наиваное предположение но у вас случаем в /etc/passwd не появлялось лишних пользователей с ID и группой 0?
P.S ради интереса полистал про N3tshell v. Emp3ror Undetectable #18. как я понял это эксплойт для Joomla ( я так понял какой то система управления вед сайтом) а мб и не для Joomla просто много ссылок было с этим связанно)
Лишнего там - только сервер игрульки, остальное по делу все и кушает ресурсов немного. Для нескольких компьютеров надо больше гарантированного электропитания, а это тоже деньги.
угу. я не про то, кто сколько кушает, а про то, что каждый сервис - это лишняя дыра. и проникнув в вашу систему через ЛЮБУЮ дыру, враг захватывает ВСЁ. А всякие M$овские протоколы расшарки (ака самба) - не слишком секьюрные вещи - они просто так проектировались...
aelfwine написал:
А вот этот комментарий непонятен. Сервера то нон-стоп уже третий год, но не силой же мысли рулить.
я к тому, что сервера во первых постоянно делают бекапы, причём такие, которые сами не могут расшифровать/изменить, а во вторых - они могут отправлять почту, и даже смски. ежели что...
ладно. вот примерная последовательность действий:
1) отрубить сеть
2) сменить ВСЕ пароли системы (список юзеров смотрите в /etc/shadow- )
3) обновите/переустановите ВСЕ демоны для работы с сетью (их не так уж и много)
4) полностью отключите sudo
5) закройте ВСЕ порты
6) запретите в sshd вход от рута, смените порт, отключите первый протокол, запретите любой вход кроме как по ключу.
7) ну и включайте демоны по одному, открывая для каждого свой порт. и логи читайте, особенно смотрите, кто и куда заходит.
Файлов новых не появилось, но chkrootkit оказался удаленным.
и вроде выше вы писали что пароль рута поменяли (как мне кажется).
Мб наиваное предположение но у вас случаем в /etc/passwd не появлялось лишних пользователей с ID и группой 0?
Пароль менял, да. Причем не только у рута, не помогло. Ключи перегенерял, лишних нет. На последний вопрос ответить не так просто. Увидев что /etc/passwd имеет свежую дату изменения, а рядом некий /etc/passwd- месячной давности (видимо тогда произошел взлом), поставил passwd- на место passwd, хоть и взглядом разницы не увидел. Раньше может и был такой пользователь.
drBatty написал:
[quote=aelfwine]Лишнего там - только сервер игрульки, остальное по делу все и кушает ресурсов немного. Для нескольких компьютеров надо больше гарантированного электропитания, а это тоже деньги.
угу. я не про то, кто сколько кушает, а про то, что каждый сервис - это лишняя дыра. и проникнув в вашу систему через ЛЮБУЮ дыру, враг захватывает ВСЁ. А всякие M$овские протоколы расшарки (ака самба) - не слишком секьюрные вещи - они просто так проектировались...[/quote]
О таком аспекте не подумал, разумно.
drBatty написал:
[quote=aelfwine]А вот этот комментарий непонятен. Сервера то нон-стоп уже третий год, но не силой же мысли рулить.
я к тому, что сервера во первых постоянно делают бекапы, причём такие, которые сами не могут расшифровать/изменить, а во вторых - они могут отправлять почту, и даже смски. ежели что...[/quote]
Это связь в одну сторону. Смской софт не обновишь и пароль не поменяешь.
Надо сказать что на маршрутизаторе порезал все после того как в активной фазе борьбы с вражиной меня лишили пароля от рута. Сразу после этого зарезал все на маршрутизаторе (жаль раньше не додумался), ну и ножками к серверу, ребутать, пароль восстанавливать. После этого 14 часов прошло, пока тихо все.
drBatty написал:
ладно. вот примерная последовательность действий:
1) отрубить сеть
2) сменить ВСЕ пароли системы (список юзеров смотрите в /etc/shadow- )
3) обновите/переустановите ВСЕ демоны для работы с сетью (их не так уж и много)
4) полностью отключите sudo
5) закройте ВСЕ порты
6) запретите в sshd вход от рута, смените порт, отключите первый протокол, запретите любой вход кроме как по ключу.
7) ну и включайте демоны по одному, открывая для каждого свой порт. и логи читайте, особенно смотрите, кто и куда заходит.
Угу, спасибо.
ЗЫ: если есть shadow-, то значит вышеупомянутый passwd- тоже не левый был?
