rare uitgaande connecties

[rodb]

Hallo,

Sinds gister kwam ik er achter dat er wat gerommeld wordt door een persoon op mijn server ik er gaan rare uitgaande verbindingen ik krijg het maar niet gestopt

ik heb geprobeerd een regel te maken dat hij niet meer naar 108.122.0.0 kan verbinden maar dat werkt niet.

mijn vraag is weten jullie hier wat tegen?

Alvast bedankt,
Robert


Iptables:

 iptables -A OUTPUT -p tcp -d 108.122.0.0 -j DROP

iftop:

127.0.0.39  => 108.122.0.0     0b    128b     49b
127.0.0.67  => 108.122.0.0     0b    128b     49b
127.0.0.100 => 108.122.0.0     0b    128b     49b
127.0.0.242 => 108.122.0.0     0b    128b     49b
127.0.0.127 => 108.122.0.0     0b    128b     49b
127.0.0.126 => 108.122.0.0     0b    128b     49b
127.0.0.131 => 108.122.0.0     0b    128b     49b
127.0.0.63  => 108.122.0.0     0b    128b     49b
127.0.0.176 => 108.122.0.0     0b    128b     49b
127.0.0.45  => 108.122.0.0     0b    128b     49b
127.0.0.166 => 108.122.0.0     0b    128b     49b
127.0.0.239 => 108.122.0.0     0b    128b     49b
127.0.0.81  => 108.122.0.0     0b    128b     49b
127.0.0.87  => 108.122.0.0     0b    128b     49b
127.0.0.6   => 108.122.0.0     0b    128b     49b
127.0.0.58  => 108.122.0.0     0b    128b     49b
127.0.0.111 => 108.122.0.0

[Mark17]

Wat geeft onderstaande?
lsof -nP |grep 108.122.0.0

[rodb]

dit
rodb:~# lsof -nP |grep 108.122.0.0

lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003
lsof: no pwd entry for UID 1003

[nanochip]

Volgens mij komt die error omdat lsof geen wachtwoorden uit /ect/passwds kan halen. Omdat UID 1003 er niet in staat. Maar zeker weet ik het niet. Je kan het proces wel gewoon killen met kill -9 1003 als je het niet vertrouwt.

EDIT:

iptables -A OUTPUT -p tcp -d 108.122.0.0 -j DROP

Probeer eens:

iptables -A OUTPUT -d 108.122.0.0 -j DROP

[rodb]

Bedankt voor uw snelle reacties

dat had ik uiteraard al geprobeerd
maar dan zegt hij dat het proces niet bestaat

-bash: kill: (1003) - No such proces

ik heb nu dit gedaan en het is nu gestopt gelukkig,

 iptables -A OUTPUT -d 108.122.0.0 -j DROP

er blijkt dus een shell op mijn server geherinstalleerd te zijn kan het alleen nog niet vinden
dit is de site waar op kom als ik de exploit Google
http://www.exploit-db.com/papers/15311/

[nanochip]

Oke dit schept veel duidelijkheid, weet je zeker dat dit script op je server draait?

Typically it isn't possible to use a suidshell or modify /etc/passwd directly after
webshell access (user nobody) to gain root access. But with the DSO vuln we can
launch commands as root and we can create a socket and connect to the user or setup
a bindshell.

After you have found a SQL-Injection vuln you can create a php backdoor. This is typically
possible with select into dumpfile/outfile statement. The values are a simple
<? passthru($_GET['c']); ?> backdoor.

Zou je eens ps U nobody willen doen en een output willen geven

Oh stom van mij, via nobody kan je naar root. Ik zou even een ps aux doen en kijken of er een raar proces loopt wat je niet kent.

[t.bloo]

1003 is een UID, niet een PID, dat killen lijkt me dus niet wat je wil

[nanochip]

1003 is een UID, niet een PID, dat killen lijkt me dus niet wat je wil

Klopt, was me niet opgevallen excuus

EDIT:

Doe eens crontab -l, eens zien welke crontabs je hebt staan.

Now make your shellscript executable for cron:

$ chmod u+x /tmp/exploit.sh

Create rw-rw-rw file in cron directory using the setuid ping program:

$ LD_AUDIT="libpcprofile.so" PCPROFILE_OUTPUT="/etc/cron.d/exploit" ping

Launch every minute a suid root shell

$ echo -e '*/1 * * * * root /tmp/exploit.sh' > /etc/cron.d/exploit

Now you have a root shell every minute.

[rodb]

niet super veel vreemde dingen alleen

 root     31503  0.0  0.2  9944 4568 ?        S    Sep11   0:00 sshd: root@notty

vind ik raar

USER       PID %CPU %MEM   VSZ  RSS TTY      STAT START   TIME COMMAND
daemon     297  0.0  0.0  1772  460 ?        S    Mar25   0:00 /sbin/portmap
root       405  0.0  0.0 28020 1416 ?        S    Mar25   0:45 /usr/sbin/rsyslogd -c3
messageb   413  0.0  0.0  2488  896 ?        S    Mar25   0:00 /usr/bin/dbus-daemon --system
avahi      420  0.0  0.0  4028 1400 ?        S    Mar25   0:00 avahi-daemon: running [noep.local]
avahi      421  0.0  0.0  2752  228 ?        S    Mar25   0:00 avahi-daemon: chroot helper
root       657  0.0  0.0  2840  668 ?        S    Mar25   0:29 /usr/sbin/lisa
root       666  0.0  0.0  1828  592 ?        S    Mar25   0:00 /usr/sbin/inetd
root       735  0.0  0.0  3144  516 ?        S    Mar25   0:00 /usr/sbin/famd -T 0
root       759  0.0  0.0  3732  512 ?        S    Mar25   0:00 /usr/bin/system-tools-backends
daemon     769  0.0  0.0  1920  324 ?        S    Mar25   0:00 /usr/sbin/atd
root       813  0.0  0.0  3140  424 ?        S    Mar25   0:00 /usr/bin/kdm -config /var/run/kdm/kdmrc
root       944  0.0  0.0  5280 1220 ?        S    Sep11   0:00 /usr/sbin/sshd
postfix    959  0.0  0.0  5496 1724 ?        S    Sep11   0:00 pickup -l -t fifo -u -c
postfix    961  0.0  0.0  5540 1772 ?        S    Sep11   0:00 qmgr -l -t fifo -u
root      1082  0.0  0.1  8024 2548 ?        R    Sep11   0:00 sshd: root@pts/0
root      1085  0.0  0.0  2840 1600 pts/0    S    Sep11   0:00 -bash
root      1155  0.0  0.1  8248 2860 ?        S    Sep11   0:00 sshd: root@notty
root      1158  0.0  0.0  2660 1236 ?        S    Sep11   0:00 -bash
root      4618  0.0  0.0  2044  880 ?        S    Sep11   0:00 /usr/sbin/cron
proftpd   6867  0.0  0.0  5380  692 ?        S    Aug22   0:09 proftpd: (accepting connections)
root     18278  0.0  0.0  5484 1612 ?        S    May01   0:37 /usr/lib/postfix/master
rwhod    29092  0.0  0.0  1848  552 ?        S    Sep10   0:00 /usr/sbin/rwhod -b
rwhod    29093  0.0  0.0  1848  452 ?        S    Sep10   0:00 /usr/sbin/rwhod -b
root     31503  0.0  0.2  9944 4568 ?        S    Sep11   0:00 sshd: root@notty
root     31505  0.0  0.0  2664 1244 ?        S    Sep11   0:00 -bash

rodb:~# crontab -l:
no crontab for root

[rodb]

rodb:~# crontab -l:
no crontab for root

geen crontabs

[nanochip]

Ik ben niet heel bekend met linux maar probeer eens:

for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l; done

[rodb]

Eigelijk geen crons

rodb:~# for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l; done
no crontab for root
no crontab for daemon
no crontab for bin
no crontab for sys
no crontab for sync
no crontab for games
no crontab for man
no crontab for lp
no crontab for mail
no crontab for news
no crontab for uucp
no crontab for proxy
no crontab for www-data
no crontab for backup
no crontab for list
no crontab for irc
no crontab for gnats
no crontab for nobody
no crontab for libuuid
no crontab for sshd
no crontab for postfix
no crontab for mighty
no crontab for zonor
# m h  dom mon dow   command
no crontab for mysql
no crontab for proftpd
no crontab for ftp
no crontab for mightyuser
no crontab for messagebus
no crontab for avahi
no crontab for festival
no crontab for saned
no crontab for haldaemon
no crontab for patro
no crontab for gdm
no crontab for mt-daapd
no crontab for music
no crontab for rwhod

[nanochip]

Doe eens ps -p 1003

[rodb]

Ik heb juist dat proces net gekilt bleek ircd te wezen

[nanochip]

Oké, toch niets van een webshell-Remote-Root Exploit dat verklaard waarom we niets vonden