Hei
käytän tietokoneessa Debian 4.0r2 -versiota.
kun kytkin tietokoneen päälle, ADSL-modeemi
ilmoitti vilkkumisella, että tietoa siirtyy,
vaikka en hakenut mitään tietoa netistä.
kun annoin who-komennon, tämä listasi kolme
käyttäjää. näistä yksi oli ilmeisesti luvatto-
massa käytössä. vajaan minuutin kuluttua yhteys
päättyi ja kirjautuminen loppui. kyseessä ei
ollut juurikäyttäjän (root) käyttäjätunnus.
mitä voin saada selville tästä luvattomasta
käytöstä ja miten?
Kiitos neuvoista,
Linux-käyttäjä
käytän tietokoneessa Debian 4.0r2 -versiota.
kun kytkin tietokoneen päälle, ADSL-modeemi
ilmoitti vilkkumisella, että tietoa siirtyy,
vaikka en hakenut mitään tietoa netistä.
kun annoin who-komennon, tämä listasi kolme
käyttäjää. näistä yksi oli ilmeisesti luvatto-
massa käytössä. vajaan minuutin kuluttua yhteys
päättyi ja kirjautuminen loppui. kyseessä ei
ollut juurikäyttäjän (root) käyttäjätunnus.
mitä voin saada selville tästä luvattomasta
käytöstä ja miten?
Kiitos neuvoista,
Linux-käyttäjä
Vastaukset 22
Vanhimmat
Tuo vaatii palomuurittoman koneen. Koputtelijoita on aina liikkeellä, eivät kylläkään pääse sisään, jos olet asentanut kaikki oikein. Katso komennolla >w< se näyttää vähän enmmän.
Eiköhän se vaan ollut jokin normaali verkkoprosessi, joka käyti nettiä. Esimerkiksi systeemi käy aina välillä katsomassa onko uusia päivityksiä saatavilla.
Jos ei sulla pyöri mitään palvelimia koneella, niin mistäs sinne sun koneellesi kukaan noin vaan edes pääsisi?
Hei
kyseessä voisi olla pakettien päivitysohjelma.
mutta itse luulen, että kyseessä oli vierailija.
>Jos ei sulla pyöri mitään palvelimia koneella, >niin mistäs sinne sun koneellesi kukaan noin vaan >edes pääsisi?
avoimia palvelimia ovat hpiod, python, rpc.statd,
portmap, inetd ja cupsd.
luulen, että tunkeutuminen tapahtui jo aiemmilla
käyttökerroilla nettisivujen selailun yhteydessä.
Python on ohjelmointikieli eikä mikään palvelin. Inetd ei myöskään itsessään ole mikään palvelin.
"luulen, että tunkeutuminen tapahtui jo aiemmilla
käyttökerroilla nettisivujen selailun yhteydessä."
Linux ei ole Windows, eli mitenkähän toi on muka tapahtunut? Linuxin webbiselaimet ei edes tue lainkaan Microsoftin activex:aa, joka on yksi pääsyistä siihen miksi esim webbiselailusta voi Wuindowsissa tommosta seurata,
hei,
tiedän, että python ei ole palvelin, mutta
tämän rivin #netstat -nlp tuottaa. epäilen,
että kyseessä on valepukuinen haittaohjelma.
kysyit:
Linux ei ole Windows, eli mitenkähän toi on muka tapahtunut?
kokeile asentaa libsafe, niin huomaat, että
linuxissa on useita C-funktioita, jotka ovat
haavoittuvaisia. jos kokeilet, kerro, saitko
./int.sh t1-komennolla puskuriylivuodon estettyä.
int.sh on hakemistossa libsafe-2.0-16/exploits/.
" tiedän, että python ei ole palvelin, mutta
tämän rivin #netstat -nlp tuottaa. epäilen,
että kyseessä on valepukuinen haittaohjelma. "
jo tottakai kaikki koneessa pyörivä on valepukusia haittaohjelmia.
"kokeile asentaa libsafe, niin huomaat, että
linuxissa on useita C-funktioita, jotka ovat
haavoittuvaisia"
Et sä voi syyttää linuxia siitä mitä on standardi C:ssä määritelty. Toki puskuriylivuodot on mahdollisia ohjelmointivirheiden takia, ja niitä esiintyy kaikissa käyttiksissä aina välillä. On ohjelmoijan vastuulla tehdä koodista semmosta ettei puskuriylivuotoja synny. Ja voit ola ihan varma, että juuri esim. noita reikiä Debianin perusteellisella pyritään ehkäsemään.
"os kokeilet, kerro, saitko
./int.sh t1-komennolla puskuriylivuodon estettyä."
ja mikähän toi t1 on? ettei vaan olis joku testiohjelma, jos ON TAHALLAAN tehty puskuriylivuoto. Mitä tekemistä tolla on Debianin kanssa?
Ja voit ola ihan varma, että juuri esim. noita reikiä Debianin perusteellisella testauksella pyritään ehkäsemään.
Kun nyt noin hirvittävästi olet huolissasi, niin saattaa kiinnostaa että seuraavassa Debian julkasussa, Lennyssä, tulee olemaan oletuskääntäjänä GCC 4.3, eli sillä käännetään myös jakelun paketit. GCC 4.3 mahdollistaa myös kääntäjä/linkkeritasolla parannetun suojauksen puskuriylivuotoja vastaav. Lennyssä on ilmeisesti tarkotus ottaa nuo suojaukset käyttään oletuksena. Eli GCC varmistaisi aina jo käännös/linkkaus vaiheessa, että ohjelma on suojattu ainakin yleisimmiltä puskuriylivuoto-ongelmilta. Se ei tietenkään tarkota sitä, että ohjelmoijien pitäs alkaa tuottaa kehnoa koodia. Tuo puskuriylivuotosuojaus kuitenkin antaa suojaa ohjelmointivirheitä vastaan.
Katso /etc/passwd tiedostostoa. Sieltä näet että koneessa on paljon käyttäjiä itsesi lisäksi vaikka olisit luonut vain yhden käyttäjän asennuksen aikana.
Hei
kyseessä oli minun käyttäjätunnus. palvelimet
tuskin käyttävät tavallisen käyttäjän käyttäjä-
tunnusta. last-komento näyttää seuraavaa:
pts/1 :0.0 Wed May 14 15:17 - 15:18 (00:00)
pts/0 :0.0 Wed May 14 15:16 - 21:02 (05:46)
itse olin kirjautunut pts/0:aan tuolla hetkellä.
tässä tietokoneessa on ollut aiemminkin tieto-
turvaongelmia. esimerkiksi kerran KMailin
käynnistäminen tuotti virheilmoituksen, että
KMailia käytetään jo toisella virtuaalinäytön
työpöydällä, vaikka tämä oli ensimmäinen
käynnistyskerta. onko mahdollista, että
sähköpostini on lähetetty toiselle tietokoneelle?
sähköpostipalvelimen salasana on syötetty joka
sähköpostin hakukerralla erikseen eli ei ole
siten sähköpostiohjelman/hakkerin tiedossa.
Kiitos neuvoista, Debianin käyttäjät
last -d
mulla näin:
usr pts/1 0.0.0.0 Thu May 15 20:44 still logged in
usr pts/1 0.0.0.0 Thu May 15 10:00 - 10:10 (00:09)
usr pts/0 0.0.0.0 Thu May 15 07:02 still logged in
usr :0 0.0.0.0 Thu May 15 07:01 still logged in
usr :0 0.0.0.0 Thu May 15 07:01 - 07:01 (00:00)
pts/1 = graafinen konsoli jonka avasin komentoja varten
pts/1 klo 10:00-10:10 on viimeksi avattu&suljettu konsoli
pts/0 = äksä/KDE/kutsu miksi haluat
:0 = konsoli joka ajaa äksää(kaikkea)
tuo -d vipstaakkeli lisää tuohon listaan ip:t ja jos niitä ei näy(ovat nollia) niin ne on paikallisia käyttäjiä. ei remoteja. elikkä nou hätä.
komento: who -H
näyttää kaikki sen hetkiset käyttäjät. kokeile avata konsoli 10 kertaa ja typetä johonkin tuo komento niin huomaat homman..
tämän 10 konsolin jälkeen myös last -d näyttää hieman erilaiselta :)
korjatkaa jos meni jotain väärin.. vähän hätäinen selostus..
kuten jo joku mainitsikin komento: w
kertoo tällaista:
21:31:35 up 14:30, 3 users, load average: 0.13, 0.06, 0.04
USER TTY LOGIN@ IDLE JCPU PCPU WHAT
usr :0 07:01 ?xdm? 5:12 0.12s /bin/sh /usr/bin/kde
usr pts/0 07:02 14:29m 0.00s 2.38s kded [kdeinit] --new-startup
urs pts/1 20:44 0.00s 0.37s 0.15s /bin/bash
eli :0,pts/0 ja pts/1 kuten jo selostin.
"tässä tietokoneessa on ollut aiemminkin tieto-
turvaongelmia"
Tuo lause tarkoittaa sitä että kone on tyhjennettävä ja kaikki asennettava uudestaan puhtaista lähteistä. Linuxissa noudatetaan nollatoleranssia.
" pts/1 :0.0 Wed May 14 15:17 - 15:18 (00:00)
pts/0 :0.0 Wed May 14 15:16 - 21:02 (05:46) "
No toi nyt tarkottaa vain sitä, että sulla on ollut hetken kaksi terminaali-ikkunaa auki. Kuten huomaat sessioiden alkuaikojen välillä on vaan minuutti. Väitän sun ihan itse avanneen kaksi terminaali-ikkunaa, tai kaksi tabia samaan terminaali-ikkunaan. Olet sitten sulkenut toisen niistä.
juuri tuolta toi minustakin näyttää. Jokainen avattu terminaali-ikuna luo uuden session. Tuo tuloste näyttää siltä, että esim vahingossa on avattu kaksi terminaali-ikkunaa ja sitten toinen niistä on suljettu melkeen heti.
hei
toinen pääteikkuna saattoi olla 0:0-näytön
ulkopuolella, koska sitä ei näkynyt. dcopilla
voi antaa gui-sovelluksille komentoja komento-
riviltä, jota epäilen käytetyn jo aiemmin
aikaisemmissa tietoturvahyökkäyksissä.
sillä last -d komennolla ip-osoitetta josta tämä olettamasi 'hyökkäys' tuli?
hei,
last -d tuottaa:
pts/1 0.0.0.0 Wed May 14 15:17 - 15:18 (00:00)
eli tietoturvahyökkäys tuli omalta koneelta. koska
koneella on ollut jo aiemmin tietoturvaongelmia,
tämä vahvistaa käsitystä, että tietokoneelle on
murtauduttu jo kauan sitten.
itse hyökännyt itseäsi vastaan?
top ?
Joko sä olet hyvin vainoharhanen tai sitten yrität ihan tahallasi mustamaalata Debiania. noi sun "tietomurtosi" nimittäin vaikuttaa ihan itsesi tekosilta noiden tietojen perusteella mitäö olet antanut.