Onderwerp: Hack ?

In de temp directory tref ik het navolgende aan:

file
amit
users
722
Sep 20 11:24
/tmp/ /. /raw.session


file
amit
users
1022
Sep 20 11:24
/tmp/ /. /raw.levels


file
amit
users
6
Sep 19 12:14
/tmp/ /. /raw.pid


file
amit
users
91
Sep 20 11:00
/tmp/ /. /3


file
amit
users
4181
Apr 30 20:53
/tmp/ /. /raw.set


file
amit
users
519
Dec 28 2002
/tmp/ /. /rand/randnicks.e


file
amit
users
55316
Dec 28 2002
/tmp/ /. /rand/randsay.e


file
amit
users
3651
Dec 28 2002
/tmp/ /. /rand/randsignoff.e


file
amit
users
1465
Dec 28 2002
/tmp/ /. /rand/randversions.e


file
amit
users
830
Dec 28 2002
/tmp/ /. /rand/randkicks.e


file
amit
users
5195
Dec 28 2002
/tmp/ /. /rand/randaway.e


file
amit
users
3982
Dec 28 2002
/tmp/ /. /rand/randinsult.e


file
amit
users
2495
Dec 28 2002
/tmp/ /. /rand/randpickup.e

Als het al een hack is is het een hele oude.
Datum is nog van 2002.
Probeer eens te kijken wat er in de bestanden staat.
Het lijkt wel van een spel of van een chatbox...

Kan niet want de server staat er maar een paar maanden..

Dat eerste is van nu. De rest is waarschijnlijk gewoon een tgz'tje wat is uitgepakt, dus met originele datums.

Maar hoe hiermee omgaan ? Kan ik "vingerafdrukken" ergens op de server aantreffen ?

Oorspronkelijk geplaatst door lacanau

Maar hoe hiermee omgaan ? Kan ik "vingerafdrukken" ergens op de server aantreffen ?

Logs ?

Indien je een korte instructie zou kunnen geven van de acties welke ik nu kan uitvoeren...

Als je zelf niet in staat bent om uit te zoeken wat er precies gebeurd is, kun je het beste een tweede disk in het systeem hangen en daar een image op zetten van de disk die je nu in gebruik hebt (dat kun je doen met dd). Die disk kun je dan gebruiken om onderzoek op te (laten) uitvoeren. Als je met de machine door blijft draaien, loop je ook de kans dat sporen overschreven worden. Die kunnen zich in logfiles bevinden, maar ook in ongebruikte blokken op disk (gedelete files) die dus overschreven zullen worden als die ruimte weer ergens anders voor nodig is.

Kan ik bestanden in de tmp dir deleten ?

Dat zeker. Iedereen die files in /tmp schrijft moet er vanuit gaan dat ze bij de volgende reboot weg (kunnen) zijn. Je kunt files in /tmp dus zondermeer deleten.

Ik zou je alleen wel willen adviseren om voordat je dat doet de boel eerst goed te onderzoeken. Als je spullen weggooit wordt het er natuurlijk niet makkelijker op om uit te zoeken wat er gebeurd is. En er is nog wat anders waar je op moet letten: Stel er staat een of andere trojan in /tmp en je delete de file terwijl hij draait, dan is de file zelf niet weg, maar alleen de verwijzing ernaar. Het proces blijft ook gewoon draaien. Als die trojan bijvoorbeeld een config file in /tmp heeft en je delete die file, dan blijft de file bestaan totdat er geen filehandles meer naar verwijzen.

Met andere woorden: Als je /tmp leegmikt, is dat nog geen garantie dat de zooi ook inderdaad weg is en tot je uitgezocht hebt wat er precies is gebeurd, kun je er ook niet zeker van zijn dat die rommel in /tmp het enige is wat ze hebben uitgespookt.

IS het geen Eggdrop achtig IRC-botje?

Daar ziet het wel naar uit. Maar de vraag blijft hoe dat daar terecht komt. Als de gebruiker in kwestie beweert het niet gedaan te hebben (ik kan niet beoordelen in hoeverre die uitspraak betrouwbaar is), heeft of iemand anders het wachtwoord van dat account, of iemand heeft ergens een lek gevonden. In beide gevallen is het probleem dus niet opgelost met het afschieten van het proces en het opruimen van de files.

Zoek met die datums eens in je accesslog-files, kijk onder welke users het hangt, vergelijk dat met je secure.log, etc etc etc

Dat weet ik welke user het is...

Dank voor al jullie hulp, het probleem is opgelost.

alleen zie ik dit nog staan...

SITE12
ftpd24405
213.219.217.76
09/22
16:04
16:05