トップページ⇒hack
30コメント9KB

いま、ハッキング受けてます。どうする？

■ このスレッドは過去ログ倉庫に格納されています
0001おこちゃまでごめん。NGNG
あのー。今時点なんですが、自分で立てたサーバがハックされてます。
その場にいないのですが、どうしましょう。

根拠は
１、外からメールがつながらない。
２、ポートスキャンすると普段あけてないポートが開いている。

ちなみにそのポートは513と514でそれぞれサービスネームはログインとシェルに
なってる。

テルネットとかは閉じてるので、直接ログインできないし。
なんとか話かけたいのだが、この雪だからいきたくないし。

煽られる前にいうとこれマジです。


0002名無しさんNGNG
513と514って、whoとsyslogじゃねーの？
0003名無しさんNGNG
って、それはudpか
0004おこちゃまでごめん。NGNG
手持ちの環境からはtcpって出てるけど。。。
どうなんだろか？
あと113？かなんかにauthなんちゃらも開いてるっす。
0005おこちゃまでごめん。NGNG
あーすんまそんです。訂正が一つ。
メールは金曜にＤＮＳの設定変えたからつながらないだけだったようです。

ところでみんな興味ないみたいっすね。だからsage
0006名無しさん＠1周年NGNG
いや興味はあるよ。
じゃんじゃん話し続けてよ。
0007おこちゃまでごめん。NGNG
じゃあ、何話せばいいの？

環境？それとも、今後の話？

ちなみにきずいたのは今日がはじめて。以前からやられていたとすれば
logはなんも残っていたことはないからもうそれなりの権限を
取られていると思うけども。
0008おこちゃまでごめん。NGNG
それじゃあ、
ＯＳはREDHAT6.2J
BINDのエーっと8.1.X
Apacheは1.3.11にJsevとJSDKかな。
それにqmail,vpopmail,vchなんちゃらと
sendmailは動かないようパーミッションを奪ってある。
sshはある。けど今はキーがないからアクセスできない。
そんなとこかな。
0009名無しさん＠そうだ選挙にいこうNGNG
気づいたら、らーめん食ってたとか？
Webもみれないの?
0010おこちゃまでごめん。NGNG
やっぱ。なんかの踏み台なのかな。
0011名無しサソNGNG
>>7
きずいたのは（築いた？）0点　　きづいた　満点
0012おこちゃまでごめん。NGNG
＞９
いんや、WEBは見れます。なんも乗っけてないけども。
今、ここで
http://rlytest.nanet.co.jp/cgi-bin/relay-test.cgi
不正中継もチェックしたけど、大丈夫だった。
もちろんアカとられてなんもいえないかもしらんが。
0013おこちゃまでごめん。NGNG
＞９
すまんですが、ラーメンって何？

＞１２
あわててたので間違えてしまった。鬱
0014名無しさん＠そうだ選挙にいこうNGNG
>>13

http://www.zdnet.co.jp/news/0101/23/e_ramen.html
0015名無しさん＠そうだ選挙にいこうNGNG
でも、Webが改ざんされてないなら、違うな
0016名無しさんNGNG
ちなみに、普段あけてないというのは自分で閉じたの？
rlogin(514) とか rsh(513) なんてデフォルトであいてるはずだけど
inetd (redhat6.2だとxinetdか？) 周りの設定はどうなってるの？
0017名無しさんNGNG
Ramenワーム＝小池さんワーム
0018おこちゃまでごめん。NGNG
なんもできないから、寝てました。
で、今も開いてます。
＞１４
サンクス。たぶんこれって感じではないですね。
＞１６
平日には開いてませんです。自分で閉じたし。
0019名無しさん＠そうだ選挙にいこうNGNG
で、どうなった? age
0020おこちゃまでごめん。NGNG
うお、またあがってきた。
今ですか。
今はほっといてあるけどその後の調査？で
PORTは5680と6000番も開いてました。
つーか、早くスキャンできるツールって大丈夫そうなやつどっかに
ないかな。今朝からやってるんだが、今15000ぐらいで、遅い。
0021おこちゃまでごめん。NGNG
5680は日本語入力？
6000はXWINDOWなのかな？
ふむー。
相手は日本人かな。しっかり休日だけらしいし。
0022なんていうかNGNG
logはスッカラカンになっていたのかい？
サーバーは一つ？ルーターは？
0023おこちゃまでごめん。 NGNG
＞２２
先週みた分にはLOGは残ってなかったです。
サーバは一つ。ルータは一つで、ポートの制限はしてないです。
これがそもそもの甘さだった。

中身は単なるテストで作ったサーバで今はメールサーバぐらいに使ってる感じです。
すぐには困らないので、ヤツが何をしているのか何とか記録したいです。
0024ＥＲＲＯＲ：名前いれてちょNGNG
>>20
>つーか、早くスキャンできるツールって大丈夫そうなやつどっかに
>ないかな。今朝からやってるんだが、今15000ぐらいで、遅い。

Win環境で「7th Sphere PortScan」っての使ってる。
秒間100Sockets＋複数起動でいい感じ。
0025おこちゃまでごめん。NGNG
>24
確かに快適ですね。
で、これでスキャンしてるんだけども、
513と514をconnect で表示された数秒後にcloseってでたけど
どうゆうことだろ？
おまけに80もcloseってでた、でもwebはみれるけども？

5680と6000は開いたままらしい。
0026おこちゃまでごめん。NGNG
あれれ。
closeって出るのは別になんでもないらしい。
ログの見方がわからず、とほほ。
0027名無しさん＠そうだ選挙にいこうNGNG
そろそろ、コンソール前にたどり着いたかなage。
0028名無しさんNGNG
まだか？雪はやんでるぞー（地域知らんが）
0029　NGNG
こいつが５分間に２０位spy Trojanとかいのを４千幾つかのポートをたたいているようです。
こういうのって無視して大丈夫でしょうかね？

http://www.maid-3.com/

あなたが検索されたアドレス［ maid-3.com ］のUSAのNICからの応答は以下の通りです。
Registrant:
none
634-5-5105 Noba-tyou Kounan-ku
Yokohama-shi, Kanagawa-ken 234-0056
JP

Domain Name: MAID-3.COM

Administrative Contact:
Ooishi, Ryo [email protected]
634-5-5105 Noba-tyou Kounan-ku
Yokohama-shi, Kanagawa-ken 234-0056
JP
045-842-4577

Technical Contact:
Sherrard, Paul [email protected]
New Sekiguchi Building 6F
6-18-8 Jingumae
Shibuya-ku, Tokyo-to 150-0001
JP
81-3-5469-8911

Billing Contact:
Obi, Hideki [email protected]
Koizumi Bldg.411
3-29-11,Nishiwaseda, Shinjyuku-ku 169-0051
JP
03-5292-9798


Record last updated on 22-Jan-2001.
Record expires on 12-Jan-2002.
Record Created on 12-Jan-2001.

Domain servers in listed order:
NS01.CSIDE-DNS.COM 210.188.252.14
SV.CSIDE6.COM 211.133.251.30
0030おこちゃまでごめん。NGNG
それでは、お騒がせした分もあるので、報告。
昼間にスキャンしたら夜とはちがってたので、面倒だが
ほっとくのもイヤなので、フォーマットしました。全部。

これでスッキリ。しかし、なんとか何やってるか記録したかったなあ。
■ このスレッドは過去ログ倉庫に格納されています