SSH útok z druhé strany (diskuse)

[Shadow]

Dobře zpracovaný článek, díky za něj.

[Nicky726]

+1

[JZ]

+1

[Limoto]

+1

[Veritas]

+1

[CEST]

Tak mam dojem, ze jsem chytil presne stejnej typ zelenace.

Osobne mi to pripada, ze tihle deticky nekde nasly navody, jak zkouset hesla, a jak potom dal nahodit daemony a nic jinyho neumi.

Osobne jsem videl, jak se hacker proces maskoval za winbindd. Bylo mi podezrely, ze bezi dva uple zvlast (jeden nebyl podproces druhyho) a navic visel na podivnym portu. Pak uz to slo rychle. Tusim jsem nasel, ze bezi pod uzivatelem, kterej mel heslo "1234" (opravdu chytry). Nasledne jsem z historie vystopoval i ten mezernikovej adresar - ono jich tam bylo myslim vic, jeden se jmenoval ". " (tecka a mezernik). Protoze po sobe nechaval utocnik stopu v .bash_history, tak usuzuju, ze to byl opravdu lammer, protoze i pro hackera zacatecnika musi byt unset HISTFILE a rm .bash_history uplna trivka.

Dale jsem se trosku jeste podival na obsah tech baliku ve skrytych adresarich ve /var/tmp a zjistil jsem, ze tam je nejakej IRC klient s botem a nasel jsem i skript, kterej spusti toho klienta a bota a pripoji se na nejaky IRC servery (nazev serveru obsahuje samozrejme underground:)).

Pak jsem jeste nasel, ze kteryho ftp serveru stahnul ty prvni baliky, tak jsem si odtud taky neco postahoval a pak jsem varoval spravce ftp serveru (prisla odpoved, ze to opravi).

V tech postahovanych balicich jsem taky nasel seznam [server,user,password] a opravdu fungovaly, nektere ale uz ne.

Pak me to prestalo bavit, ale rikal jsem si, ze by byla docela sranda se dostat do ty IRC site a pak tech detickam udelat trosku zmatku:) Napr. ze by zadaly "attack SERVER" a clovek by jim odpovedel "go to sleep, kid":) To by me zajimalo, co by asi delaly:) Mozna az bude cas, tak na to jeste kouknu.

[Zdenek]

Typicky rumunsky kiddik. V .ro je to snad narodni sport. Jednu dobu jsem provozoval honneypot a 95% kiddies bylo prave odtamtud. Navic jsou absolutne pitomi a i obycejny noexec na /tmp ci /home je vyvede z miry

[Kvakor]

Jeste drsnejsi je mit vsechno mimo /var, /etc a /tmp nejen readonly "namountovanim", ale readonly uplne natvrdo (treba pres cramfs nebo squashfs). Je to vyhodne obzlast pro relativne pomala (proti diskum) FLASH media typu CF karta, USB flashdisk nebo interni FLASH pamet primo na desce. Sice upgrade je trochu slozitejsi (musi se vygenerovat novy image, cely nahrat a pak restartovat), ale da se delat i online - viz rozlicne routery a podopne krabicky bezici pod Linuxem to presne takto delaji.

Dostat se do neceho takoveho sice je sice mozne (nar. pres slaba hesla nebo nezabecpecene diry v sw), ale udrzet se tam nebo dokonce tam nechat vlastni zadni vratka je velmi obtizne.

[pc2005]

Skvělý blogpost toho, co se skrývá za ssh útoky.

[Michal Kubeček]

Všechno bych chápal, ale ten core dump, to je na mne trochu moc…

[Joseph]

povedal by som ze ten scenar bol skoro tradicny: uhadnem heslo, mam pouzivatela. pozriem verziu kernelu

2.4 = skusim ptrace

2.5 = skusim vmsplice

hura vyrootoval som to som superduper ultra skilla. idem sa pochvalit.

Dalsie nepoznam, nie je to napisane v tom manuale ktory som stiahol z uberBlackDownUnderground servera.

To ze sa nepozrel do vnutornej siete kde sa skryvaju casto lepsie (a menej zabezpecene) stroje je tiez znakom niecoho.

Potom si vymienaju deti stroje ako keby hrali quake len davaju tie stroje namiesto fragov (alebo ako sa to vola).

[progdan]

Nedavno se mi na serveru prihodila podobna vec. Docasne jsem tam vytvoril ucet ftpguest bez hesla (aby mi kamarad mohl neco nahrat) a pak jsem jej zapomnel odstranit...no to bych nebyl ja kdybych nemel takovou smulu a nenasel si me nejakej bot a nevyzkousel ucet ftpguest bez hesla...podle logu se mi tam prihlasili tri, z toho jeden tam byl o neco dyl, do /var/tmp nahral jakesi programy (vcetne podvrhu crond apod.) - to uz asi nebyl bot ale utocnik samotny (podle IP z Rumunska ) a vyuzival muj server pravdepodobne k podobnym utokum, jakym se dostal ke me...nastesti mi byl podezrely extemne pomaly net, takze jsem na to do 24 hodin prisel, smazal a zastavil...dikybohu nemam program sendmail, takze k utocnikovi se nic nedostalo....jedinej vysledek byl, ze mi UPC zablokovalo asi 5 odchozich portu (udajne spamovani), ale to uz je vyresene.
A z toho vyplyva ponauceni: nebudte blbi a nastavuje hesla :)

[Michal Fecko]

A co tak prevadzkovat server bez SSH? To je napad, co?

[tired joe]

No tě péro, hotové Kukaččí vejce :)

[pc2005]

Taky jsem si říkal, teď jen nepřátelský špión a emulace rušení zkratováním vedení .

[rincewind]

Nevite nahodou nekdo, jaky program vyrabi uzivatele pub s heslem pub? Pouzivam Debian Etch pouze s oficialnimi repozitari. A jednou koukam v prihlaseni uzivatel pub, na ktereho se nekdo prihlasil z Thajska a pak jsem zjistil, ze ho neco vyrobilo a jsem si jist, ze ja to nebyl, nepouzivam FTP a na sambe jsou vytvoreni uzivatele s hesly. Ps. Dnes jsem presel na zabezpeceni typu OpenVPN + SSH s klici, hold doba si to zada :(

[pht]

ty deti sou cim dal blbejsi. kdyz se podivam na svou sbirku rootkitu z pred spousty let, tak se to neda srovnat. s tou byste mel rozhodne vetsi fusku.

navic me prekvapuje jak moc muze byt uspesny prosty utok hadanim hesla. kdyby meli aspon nejakej ultra sekret buffer overfl0w, ale my sme rekli ne.

samozrejme ze se s tim pak ukazujou na irc, kde jinde. dalsi prekvapeni ze si ani nenainstaluje nejakej botnet.

[Joseph]

s tym botnetom mi to tiez napadlo ze preco to nezapojil do niecoho. ale podla vsetkeho preto ze nevie ako na to lebo to nie napisane v nejakom "manuale h4x0rra".