Re: Re : Disparition de logs

[Yann Autissier <yann@autissier.net>]

François TOURDE a écrit :

> Le 12469ième jour après Epoch,
> Jean-Luc Coulon écrivait:
>
>  
>
> > Le 21.02.2004 15:55, François TOURDE a écrit :
> >    
> >
> > > Le 12469ième jour après Epoch,
> > > Yann Autissier écrivait:
> > >
> > >      
> > >
> > > > François TOURDE a écrit :
> > > >        
> > > >
> > > > > C'est quoi "sherpyanisés" ??
> > > > >
> > > > >          
> > > > J'ai trouvé ces paquets sur apt-get.org :
> > > >
> > > > deb http://debian.netfarm.it/debian/ woody sherpya
> > > > deb http://www.backports.org/debian stable all
> > > >        
> > > Bon. On va dire que c'est un nouveau mot alors.
> > >
> > >      
> > >
> > > > Mon uptime est reparti de 0 au reboot, par contre chkrootkit
> > > > me renvoie deux lignes intéressantes :
> > > >
> > > > # chkrootkit
> > > > Searching for suspicious files and dirs, it may take a while...
> > > > /usr/lib/tiger/bin/.bintype
> > > > Checking `bindshell'... INFECTED (PORTS:  1524 31337)
> > > >
> > > > # lsof |grep ":1524"
> > > > # lsof |grep ":31337"
> > > > portsentr  1002  root   40u  IPv4       2473                 TCP
> > > > *:31337 (LISTEN)
> > > > portsentr  1006  root   30u  IPv4       2547                 UDP
> > > > *:31337
> > > >        
> > > Super... Tu as gagné le droit de la réinstaller. Tiger est bien foutu
> > > comme rootkit. En lui-même il ne fait pas de dégats, mais donne la
> > > main à des connectés IRC ou SSH si mes souvenirs sont bons.
> > >
> > >      
> > Tiger, c'est le rootkit ou c'est lui qui a lancé chkrootkit pour  
> > justement vérifier l'intégrité du système ?
> > /usr/lib/tiger appartient au package tiger mais pas au rootkit du même  
> > nom ...
> >    
>
> Ooops... J'avais pas fait attention... C'est "portsentry" le rootkit
> ;) C'est lui qui écoute sur les ports...
>
> Donc il se peut que la machine soit saine.
>
> Maudit sois-je :(
>
>  
Maudit soit plutot l'admin débutant que je suis :
J'enchaine surprises sur surprises, et je ne pense vraiment plus que ma 
machine soit saine.
C'est effectivement portsentry qui écoute sur les ports 1524 et 31337, 
d'après netstat et lsof.
Mais quand j'ai rebooté le serveur, jeudi, il manquait une partie des 
logs dans les principaux logs,
mais les logs d'apache avait eux continuer de fonctionner et j'ai pu 
regarder dedans certaines
connexions qui ont eu lieu sur ce service. Mais je ne les ai pas copiés. 
Vendredi matin, quand j'ai
voulu vérifier à nouveau, toutes ces informations n'étaient plus qu'un 
vague souvenir :!(

Donc je me sens vraiment bête, mais si j'ai qd même retrouver certaines 
i.p. sur lesquelles j'ai
fait quelques traceroute, je n'ai plus aucune information sur les 
horaires et les fichiers consultés !

Yann