Dotaz: var/log/security

[mig17]

Dobrý den Mám jeden možná stupidní dotaz ale v době kdy si spokojeně spím se mi do var/log/security loguje toto . Jsem s toho krapánek nervozní protože se to do minulého týdne v logu neobjevovalo.

Oct 31 02:04:27 mig17 su(pam_unix)[22896]: session opened for user news by (uid=0)

Oct 31 02:04:27 mig17 su(pam_unix)[22896]: session closed for user news

Nov 1 02:04:39 mig17 su(pam_unix)[20492]: session opened for user news by (uid=0)

Nov 1 02:04:40 mig17 su(pam_unix)[20492]: session closed for user news

Nov 2 02:04:48 mig17 su(pam_unix)[32047]: session opened for user news by (uid=0) Nov 2 02:04:49 mig17 su(pam_unix)[32047]: session closed for user news Nov 2 15:20:41 mig17 sshd(pam_unix)[3923]: session opened for user root by (uid=0) Nov 2 16:18:08 mig17 sshd(pam_unix)[7843]: session opened for user root by (uid=0)

Jde mi o ta pravidelná logovani user news. Při výpisu cat/etc/paswwd je v seznamu napsáno etc/news ale nemůžu se dopídit k čemu to slouží.

Odpovědi

[mig17]

sory za format

[Petr Šobáň]

Přihlašuje se tam uživatel news

Takže musíš vědět co tam spouštíš pod uživatelem news.

news:x:9:13:news:/etc/news:
uživatel:heslo:uid:gid:popis:domovský adresář:shell

[mig17]

Toho jsem se bal nikoho takoveho jsem nezval. Diky za odpoved

[Jiří Veselský]

Nooo, přihlášení uživatele news s uid=0 je značně neobvyklé. Asi bych ten počítač rozbil a zahodil, sežral switch, vyměnil ISP a pak začal od nuly znovu

Jinak řečeno, podle mě je to "compromised system".

[Michal Čihař]

Tohle ten log neříká, ten říká, že uživatel s uid=0 se sučknul na uživatele news. Nějaký news démon nebo tak něco tam neběží?

[Michal Čihař]

Jo a z tý pravidelnosti to vypadá na cron

[mig17]

v cronu nic takoveho neni to bylo to prvni na co jsem koukal.smažu natvrdo adresář etc/news treba to prestane no a když ne tak udelam kompromisni reseni.

[Jiří Veselský]

Hmm, máte samozřejmě pravdu, jsem si nějak neuvědomil, kdo co