Dotaz: Zamítnutý přístup debian

[halva-jr]

Dobrý den,
mám takový větší problém. Nemůžu se dostat na server přes puttynu. Když se chci přihlásit jako root, tak mi to zamítne přístup. Měl jsem tam takový blbý heslo. Snadný. Zrovna jsem si říkal, že ho změním, ale už mě to tam nepustí. Zrovna nemám na stroj lokální řístup, ale zítra bych s ním mohl cokoliv udělat. Ale nevím co s nímm udělat. Bojím se, aby se mi tam někdo neprohnal. Phpmyadmin i FTP jsou bez problémů přístupný. Mám vytvořený i jiný uživatele, ale nepamatuju si jejich hesla. Nevíte co bych s tím mohl udělat? Mám debian lenny 502.
Děkuji za pomoc

Odpovědi

[Petr Šobáň]

Že by zablokovaný účet root z jiného PC jak z lokálního?

Použít normálního uživatele a su, sudo a pod....

[halva-jr]

Zablokovaný root určitě nebude, protože jsem na něj normálně chodil. Až dneska se tam nedostanu.

Nebo že by to bylo fakt zablokovaný? Pomáhal mi s tím ještě jeden kamarád, tak že by to zablokoval a neřekl mi o tom? Píše to
login as: root
root@80.188.217.171's password:
Access denied
root@80.188.217.171's password:
To to dělá když je zablokovaný přístup?
Zkusím tedy radši zítra lokální přístup a kdyžtak se ozvu. Kdyby nešel ani lokální přístup, dá se s tím něco dělat?

[halva-jr]

Takže se mi tam podařilo dostat přes jiného uživatele. Když zadám příkaz su tak to po mě chce heslo. Předpokládám dobře, že to má být heslo roota že? Protože to mi to nebere. Selhání autentizace Nevíte co s tím?

[Petr Šobáň]

Sehnat si heslo roota místní přístup restart serveru a změna root hesla.

[halva-jr]

Dobrý Root heslo znám, nastavoval jsem to osobně
Zítra to zkusím restartovat. Myslel jsem, že linux není windows a že restart není univerzální lék.

[danc]

on to rozhodne nemyslel tak, ze restart serveru pomuze na zapomenute / zmenene heslo roota...

podminkou pro reset hesla roota je fyzicky pristup k serveru (budes k nemu muset dojit/dojet) a pak restart v single user runlevelu, kde budes mit moznost heslo resetovat a pokud ne (pokud vim, tak novejsi distribuce to nedovoli), tak pouzit nejake live cd s kterym se chrootnes do instalace se zapomenutym heslem a heslo si zmenis

podrobnosti najdes na googlu dotazem a la: linux reset root password

[halva-jr]

Jo tak. Tak už si rozumíme Mě šlo právě o to, že to heslo jsem si neměnil a ani jsem ho nezapomněl, tak jsem se bál, jestli se tam někdo nemohl třeba nějak dostat a kdyby jo, tak jestli jde to heslo změnit zpátky. Takže teď už vím, že to jde. Vezmu DVD a vlítnu tam. Díky
Zdravím všechny

[Jendа]

a kdyby jo, tak jestli jde to heslo změnit zpátky

Jestli se ti tam někdo dostal (symptom by tomu odpovídal, i když proč by byl útočník tak blbý, že by za sebou měnil heslo?), tak tam bude mít přístup až do kompletního přeinstalování stroje a žádná změna hesla roota na silnější ti už nepomůže.

[halva-jr]

Jakto, že nepomůže změna hesla? Jak se tam může dostat? Myslel jsem, že bych změnil heslo a zakázal rootovi vzdálený přístup. Možná v iptables povolil na ssh jenom svoji mac asdresu a místní síť. Blbost?

[Jendа]

Znáš tu reklamu na Persil? Jednou rootem, pořád rootem .

Totiž – nový root mohl nahradit SSH server, PAM nebo jakýkoliv jiný podobný program vlastní upravenou verzí, která kromě „oficiálního“ hesla z /etc/shadow bude respektovat ještě jedno heslo „neoficiální“. Nebo mohl upravit top a ps a spustit si vlastní démonek s právy roota, který nebude vidět. Nebo mohl v libovolném konfiguráku v /etc přepnout nějakou volbu, která do systému udělá díru (já nevím, třeba v apache2.conf povolil CGI v nějakém zapisovatelném adresáři). Nebo mohl nakopírovat bash někam do /tmp, nastavit mu uživatele www-data a SUID bit.

[halva-jr]

Aha. Tak to jsem nevěděl, že to takhle jde udělat.

Takže pokud přijdu na to, že tam někdo opravdu byl tak rovnou odpojit a přeinstalovat ano?

[Jendа]

Ano.

[halva-jr]

Stručně a jasně Díky za pomoc.

[vencour]

Kdybych měl čas a byl na Vašem místě a o nic nešlo v případě toho serveru, tak bych se snažil danou situaci viditelně neměnit a pozoroval, kdo odkud tam leze (sledovat syn pakety odjinud?). A pak teprve čistil. Aneb i takhle nějak může vypadat cyberwar, dostali jste mne? Já dostanu vás

[halva-jr]

Vcelku nic na tom serveru není, ale rád bych nad ním měl celkovou kontrolu a nevím jestli jsem se svými znalostmi schopný vést nějakou cyberwar.

Chtěl jsem se ještě zeptat, nemohla tam opravdu nastat nějaká jiná situace? Tím myslím nějaká chyba v linuxu nebo něco podobného? Protože na 100% jsem znal heslo roota, neměnil jsem ho a nezakázal přístup a naprosto nic se nezměnilo! Tedy to viditelné co jsem mohl zkontrolovat jiným uživatelem + webové stránky na něm uložené (tedy apache, proftpd, mysql, php) na něm fungují.

Proč by tam tedy někdo lezl, když tam stejně nic neudělal, že?

[vencour]

Proč by tam lez? Pro zábavu, z hecu, aby tvořil botnet? Nebo tam někdo lez už dlouho a někdo další mu to teď překazil, že to lehký heslo změnil ...

Kdyby došlo místo, něco spadlo, snad by se to chovalo takhle ... ?

[Petr Šobáň]

Když dojde místo tak root může pracovat pořád.

Rezervované místo na HDD pro roota.

Prostě pokud si heslo nezměnil sám a není zrada někde v klávesnici (má ji přepnutou na jiné znaky - příklad Y-Z) tak je jediná možnost že mu tam něco vlezlo - samo se heslo nezmění.

Pak je ještě pouze možnost že pomocí upgrade se zablokoval přístup pro roota zvenku. (jiný konfigurák v nějakém balíčku ssh a pod....)

[halva-jr]

Sám jsem heslo nezměnil a v klávesnici určitě zrada není. Něco tam vlezlo asi Zítra jedu pro server a jde se přeinstalovávat no Sice mě to štve, ale nechci mít nezabezpečený server.

Díky všem za rady.

[halva-jr]

Ten server nebeží ani 14 dní, takže dlouho tam určitě nikdo neleze

[Dalibor Smolík]

To mi připomíná kancelář, kde admini byli moc smutní. Ostatní se jich ptali, proč.
Včera jsme dost pařili a pak měnili hesla, odpověděli.

[halva-jr]

Tak to je dobrý. Už dlouho jsem ale neslavil, takže si jsem naprosto jistý, že jsem nic neměnil.