トップページ⇒linux
49コメント14KB

Cracking被害にあったようなので、内容を晒します

■ このスレッドは過去ログ倉庫に格納されています
0001サーバ”管理”者2010/02/15(月) 09:51:01ID:cVaZ3y0V
構築したばっかりのサーバですが、挙動がおかしいのでネットワークから切り離した。
コンソールからログインしてみると、/root/ /.b/jというプログラムが実行されていて
あるIP(ロシアのIP)宛て大量にパケットを送信していました。
同じ被害にあわないためにも、情報共有します。
質問があればどうぞ
0002login:Penguin2010/02/15(月) 09:55:49ID:wBVDB0s+

「質問があればどうぞ」って、君、自分でどこが悪かったか診断したわけ？
そもそもどのサービスがクラックされたのかも書かれてない。
スレ立てるぐらいなんだから、もっと詳細書けよ。
それじゃなきゃ、削除依頼だしてこい。
0003login:Penguin2010/02/15(月) 10:00:32ID:Kal7vdI3
釣り
0004login:Penguin2010/02/15(月) 10:04:29ID:cVaZ3y0V
>2

すまん。
今確認中なので、随時詳細を書き込むようにします。

パケットをキャプチャすると、送信元IPは偽装し、ロシアのIPのTCP/113(IDENT)に
大量のパケットを送信している

/root/ /.b/以下には、他のファイルもあるので今から確認する
0005login:Penguin2010/02/15(月) 10:06:17ID:cVaZ3y0V
ちなみに、OSはCentOS5.4 i386、先週の金曜日にIIJのFTPサーバから取得したイメージでインストールしたばかり。
0006login:Penguin2010/02/15(月) 10:17:58ID:cVaZ3y0V
/root/ /.bには、以下のようなファイルがある。
この中のhttpdがjを起動したもよう。

[root@host .b]# pwd
/root/ /.b
[root@host .b]# ls -la
total 428
drwx------ 2 510 510 4096 Feb 13 20:00 .
drwxr-xr-x 3 root root 4096 Feb 13 19:16 ..
-rw-r--r-- 1 root root 124 Feb 13 23:00 1
-rwx--x--x 1 510 510 8922 Jan 24 2006 b
-rwx--x--x 1 510 510 19557 May 10 2005 b2
-rwx--x--x 1 510 510 10796 Oct 10 2007 c4
-rwx--x--x 1 510 510 8687 Jan 24 2006 f
-rwx--x--x 1 510 510 14679 Nov 3 2005 f4
-rwx--x--x 1 510 510 15125 Jan 10 2006 h
-rwx--x--x 1 510 510 152108 Jun 1 2001 httpd
-rwx--x--x 1 510 510 10848 May 30 2005 j
-rwx--x--x 1 510 510 13850 May 30 2005 j2
-rw-r--r-- 1 root root 821 Feb 14 01:20 juno.seen
-rwx--x--x 1 510 510 22983 Jul 30 2004 mech.help
-rw-r--r-- 1 510 510 1064 Feb 15 10:00 mech.levels
-rwx--x--x 1 510 510 5 Feb 13 19:16 mech.pid
-rw-r--r-- 1 root root 260 Feb 15 10:00 mech.session
-rw-r--r-- 1 root root 456 Feb 1 07:55 mech.set
0007login:Penguin2010/02/15(月) 10:20:52ID:cVaZ3y0V
-rwx--x--x 1 510 510 15078 Feb 21 2005 s
-rwx--x--x 1 510 510 16776 Sep 19 2002 sl
-rwx--x--x 1 510 510 67 Jul 30 2004 start.sh
-rwx--x--x 1 510 510 15195 Sep 3 2004 std
-rwx--x--x 1 510 510 8790 Jan 24 2006 stream
-rwx--x--x 1 510 510 7091 Jan 24 2006 tty
-rwx--x--x 1 510 510 71 Feb 18 2008 usr
-rwx--x--x 1 510 510 14841 Jul 23 2005 v2
-rwx--x--x 1 510 510 915 Mar 2 2005 x
0008login:Penguin2010/02/15(月) 10:22:58ID:cVaZ3y0V
rootのcron設定が書き換えられてた
ntpサーバと同期する設定を仕込んでおいたのに・・・

[root@host .b]# crontab -l
[email protected]
0009login:Penguin2010/02/15(月) 10:35:44ID:cVaZ3y0V
侵入経路は、ほぼ特定できました。
SSHやtelnetはFirewallによって遮断しているので、アクセス可能なHTTP(S)/FTP/SMTP/POP/サーバ管理ソフトのログを調査したところ、
Webベースの管理ソフトから、rootのcronを書き換えたログが残ってました

操作元のIPは、79.114.204.105 こいつもロシアのIP
0010login:Penguin2010/02/15(月) 11:20:11ID:v96hRl2p
>>9
> Webベースの管理ソフトから、rootのcronを書き換えたログが残ってました

具体的には何?
webmin?
0011login:Penguin2010/02/15(月) 11:30:35ID:JCuyjHv1
ブログでやれ。
0012login:Penguin2010/02/15(月) 12:57:55ID:wBVDB0s+

> SSHやtelnetはFirewallによって遮断しているので、アクセス可能なHTTP(S)/FTP/SMTP/POP/サーバ管理ソフトのログを調査したところ、

もしかしてHTTP(S)/FTP/SMTP/POP全部開いてんの？
0013login:Penguin2010/02/15(月) 14:18:43ID:YUOURW+i
あれだ
玄関の鍵は植木鉢の中にかくしてはいけない




で終了
0014login:Penguin2010/02/15(月) 14:25:40ID:q8VYs7ji
つか、root権限奪われたんだろ？
普通、ログファイルは消すだろ？
なんで残ってんの？ 変更されたんじゃねーの？

あとポートあけすぎだって。httpは多分ないが、
そんなんクラックしてください、って言ってるようなもの。
0015login:Penguin2010/02/15(月) 14:28:54ID:emCqloK3
>あとポートあけすぎだって。httpは多分ないが、

どこをみてポート空け過ぎと判断？

>HTTP(S)/FTP/SMTP/POP/

これのこと？
0016login:Penguin2010/02/15(月) 15:38:25ID:ZpRzlKP7
これかもよ
> SSHやtelnetはFirewallによって遮断しているので
14はポートを港かなんかと勘違いしてんじゃねーの
0017login:Penguin2010/02/15(月) 15:53:09ID:emCqloK3
>>16
だねｗ
鯖の用途によっては別に開きすぎでもなんでもないと思うのがねぇ
(FTPに関してはそのまま平分でやりとりしてるのかは気になるが)

もし>>14が再登場出来るのなら説明して頂きたい。
勉強になりそう。
0018login:Penguin2010/02/15(月) 21:41:29ID:xPTxJGQn
ネタだからさ・・・
0019login:Penguin2010/02/15(月) 21:43:21ID:Lo5zkAWF
ssh一個だけでええやん
0020login:Penguin2010/02/15(月) 21:51:46ID:EjHaC8hh
Apache使う以上、改竄されるのがデフォ。
0021デムパゆんゆん＠冬眠中越冬つばめ2010/02/15(月) 22:11:15ID:cc5aKzSI
ぐぐるマップでTimisoara　Timisでぐぐったら
ルーマニアのTimisoara　Timisじゃねーの レストランみたいだな
ttp://maps.google.com/maps?oe=utf-8&rls=org.mozilla:ja:official&client=firefox-a&um=1&ie=UTF-8&q=Timisoara,+Timis&fb=1&hq=Timis&hnear=Timisoara,&cid=0,0,6029442546680310597&ei=5EV5S8DhAYvg7AOsrsCnCA&sa=X&oi=local_result&ct=image&resnum=1&ved=0CAsQnwIwAA
0022デムパゆんゆん＠冬眠中越冬つばめ2010/02/15(月) 22:13:50ID:cc5aKzSI
79.114.204.0 through 79.114.204.255
ttp://www.corporationwiki.com/79.114.204.0/
0023 ◆Zsh/ladOX. 2010/02/15(月) 22:15:48ID:92DvBsDP
デムパのように調べろよw
だからクラックされるんだろw
0024デムパゆんゆん＠冬眠中越冬つばめ2010/02/15(月) 22:39:41ID:cc5aKzSI
George Enescu Universityが近くにある
学生のいたずらかのぅ
ログのアドレスが改ざんされてなければだがな
セントスならselinux onにしてtargetedポリシのままでもそれなりに効果ある
＞アクセス可能なHTTP(S)/FTP/SMTP/POP/サーバ管理ソフト
何使ってるのか書いてないし釣りかの
0025login:Penguin2010/02/15(月) 22:43:26ID:xPTxJGQn
そもそも、何のためのサーバなの?

鯖の塩焼き食おう。
0026login:Penguin2010/02/15(月) 22:47:53ID:nYdiOMk9
ててて
0027login:Penguin2010/02/15(月) 22:53:06ID:nYdiOMk9
webminってデフォルトで外から使えるようになってるんだっけ？
0028login:Penguin2010/02/15(月) 23:01:28ID:EjHaC8hh
Linuxにはデフォでクラッキングツールがそろっている分、攻撃者に
とって使いやすい優良OSなんだよ。
Windowsなんか乗っ取ったって出来ることは限られているけど、Linuxなら
値千金。
Linuxはセキュアだと信じてる人も多いから防御も甘く楽に乗っ取れるし。
0029login:Penguin2010/02/15(月) 23:05:25ID:EjHaC8hh
オープンプロキシの検索で出てくるのもほとんどがLinuxでしょ。
Linuxの裏社会に対する貢献度はオープンプロキシを見るだけで理解できる。
攻撃の自由、接続の自由、破壊の自由、こういった自由を実現してくれるのが
Linuxなんだよ。
0030login:Penguin2010/02/15(月) 23:19:55ID:Rj/ZYGIT
だからなに？
0031デムパゆんゆん＠冬眠中越冬つばめ2010/02/15(月) 23:22:27ID:cc5aKzSI
>>27
イントラネットでなら使える
外に出てグローバルアドレスの時は知らん
snortだっけ　脆弱検知で探してアクセスしたんだろ
0032login:Penguin2010/02/15(月) 23:23:44ID:nYdiOMk9
>>29
同意しかねるｗ
Webminやらftpが原因でシステムが乗っ取られるのは
rootや管理ポリシーがヘボだから
0033login:Penguin2010/02/15(月) 23:46:11ID:nYdiOMk9
>>31
そうなるとWebminの拒否方法によるな
apache使ってたらWebmin乙だ
0034login:Penguin2010/02/15(月) 23:59:27ID:IJCQpRZY
つか、そんなもん入れたまんまで外に晒してどうすんだよ…。
0035login:Penguin2010/02/16(火) 00:11:16ID:TQ0r9hwU
外向けのサーバーでWebmin入れて管理してましたって言うならアホとしか
0036login:Penguin2010/02/16(火) 11:36:39ID:UKu9n8JL
ものすごく単純な話で、お前らも2chに書き込めない時オープンプロキシ探して
使うだろ？
で、2chに書き込めるプロキシを探せるのが売りのサイトがあるけど、その手の
サイト自体Linuxで運用されてて頻繁にクラックされてるだろ。
クラックしたりされたりしながら自由を守るのがオープンソース文化なんだって。
オープンプロキシの場合は、クラックされてオープンになってるなら、それは
自由を守るためのクラックだろ。
書き込む自由な。
>>1の場合だって、クラック被害っていうけど逆に考えれば誰かの自由を守るための
貢献なんだよ。
たとえばウェブ改竄の踏み台にされてたなら、ウェブ改竄の自由を保障するために
貢献したってことよ。
FSF辺りから見れば表彰もんの立派な行いだろ。
自由を守るためにリソースを提供したんだから。
0037login:Penguin2010/02/16(火) 11:51:04ID:f/Vq1QTP
すごい

納得しかけてしまった

どう反論したらいいんだろ。RMSならなんて同意するかな…
0038login:Penguin2010/02/16(火) 11:53:48ID:gV0gKlL+
バカなのかおまえ。秋葉原の駅前でラッセンの絵とか買わされるなよ。
0039login:Penguin2010/02/16(火) 11:58:28ID:5+e+vo5L
結局釣りスレだったな。
単独で建てているからそうだと予想できたが。
0040login:Penguin2010/02/16(火) 14:21:50ID:Jl0Fnpcj
>>1
削除依頼出しといてね。
0041login:Penguin2010/02/16(火) 18:00:30ID:O1oJYd1j
報告はまだか……。
0042login:Penguin2010/02/16(火) 20:03:53ID:DD+4H9Z+

　　　 　　　　／::::::::::::::::::::::::::::::::::::::::＼
　　　　　　 /::::::::::::::::::::::::::::::::::::::::::::::::::::ヽ
　　　　　　.(::(:::(::::／￣￣￣￣＼::::::):::)::)
　　　　　　(::(:::(:::)／・＼　　／・＼(:::):::)::)
　　　　　 .(::(:::(:::) ￣￣　　　￣￣ (:::):::)::)
　　　　　 (::(:::(:::)　　 （||||人||||）　 .(:::):::)::)
　　　　　.(::(:::(;;;)　　　 ＼　　　|　　.(;;;):::)::)　
　　　　　 (::(:::(::::＼　 　　＼＿|　／::::):::)::)
　　　　　 (::／￣|￣|＼ ||||||| ／|￣|￣＼::)
　　　　　　| 　　 .〉　|人＼_／入|　〈　　　|
　　　　　　|　 |　.|　 |　 ヽ＿/.　 |　 |　| 　|

　　　　　　　　　チッ・ウッセーナ[1988〜]

0043login:Penguin2010/02/17(水) 03:10:21ID:qiJLD47q
ちょっと気になって調べてみたんだが、確かに/root/ /.b/があるな。
0044login:Penguin2010/02/17(水) 04:21:04ID:7YkCejWR
>>43
なにそれなんでそんなきもいファイルがあるんだよ
0045login:Penguin2010/02/17(水) 04:56:02ID:qiJLD47q
>>44
ディストリ自体に入っていたと思うんだがな。
端末からだとパッと見わからんからたちが悪い。
0046login:Penguin2010/02/17(水) 05:19:44ID:7YkCejWR
>>45
サーバー選んでセットアップしてみたが
そんなもの存在しないんだが・・・

0047login:Penguin2010/02/17(水) 11:21:35ID:uHhxOYuP
オレのマシンにも無いな
0048login:Penguin2010/02/27(土) 17:42:24ID:qVw4vgog
いやっほーい！
0049停止しました。。。NGNG
真・スレッドストッパー。。。(￣ー￣)ﾆﾔﾘｯ
■ このスレッドは過去ログ倉庫に格納されています