Re: Re : Disparition de logs
François TOURDE a écrit :
Le 12469ième jour après Epoch,
Yann Autissier écrivait:
Maudit soit plutot l'admin débutant que je suis :
J'enchaine surprises sur surprises, et je ne pense vraiment plus que
ma machine soit saine.
C'est effectivement portsentry qui écoute sur les ports 1524 et 31337,
d'après netstat et lsof.
N'oublie pas que netstat et lsof peuvent avoir été compromis... essaye
de faire un 'sum' et un 'md5sum' des binaires pour les comparer à une
machine saine.
J'ai exactement les mêmes retour sur une machine que j'estime saine.
$ md5sum /bin/netstat
fd2c999a20b1e9bbb395ee8389208923 /bin/netstat
Package: net-tools
Version: 1.60-8.backports.org.1
$ md5sum /usr/sbin/lsof
f74cd4da3c3a526ee8d8707986995429 /usr/sbin/lsof
Package: lsof
Version: 4.57-1
Mais quand j'ai rebooté le serveur, jeudi, il manquait une partie des
logs dans les principaux logs,
mais les logs d'apache avait eux continuer de fonctionner et j'ai pu
regarder dedans certaines
connexions qui ont eu lieu sur ce service. Mais je ne les ai pas
copiés. Vendredi matin, quand j'ai
voulu vérifier à nouveau, toutes ces informations n'étaient plus qu'un
vague souvenir :!(
C'est pas une rotation qui a fait ça ?
non, uniquement les infos des connexions entre 17h00 et 19h30...
L'important, c'est de savoir par où ils sont rentrés, si effectivement
ils (les vilains) sont rentrés. Apache a eu un problème de sécurité il
n'y a pas longtemps, mais je ne me souviens plus lequel. Si PHP tourne
aussi sur ta machine, il se peut qu'un 'require()' ou 'include()'
puisse être utilisé pour exécuter du code malicieux, obtenir un accès
root si tu as un noyau <= 2.4.24, et paf!
Effectivement, je suis encore en 2.4.22, et tous les sites hébergés sont
développés en php.
Je ne peux donc m'en prendre qu'à moi ! :-(
Donc je me sens vraiment bête, mais si j'ai qd même retrouver
certaines i.p. sur lesquelles j'ai
fait quelques traceroute, je n'ai plus aucune information sur les
horaires et les fichiers consultés !
Bof... En général ces IP sont celles de machines déjà compromises
elles aussi ;)
Même les logs apache peuvent ne te donner que des IP du même genre.
Il devait tout de même y avoir une trace de l'intrusion, et
probablement de la requête utilisée pour corrompre mon apache.
Reply to: