Re: Server gehackt?
On Sun Sep 28 07:33PM, Mario Duve wrote:
[gehackter Rechner?]
> Also, im moment sieht es so aus. Nach einem Standtortwechsel des betroffenen
> PC,
> fährt dieser nich mehr hoch.
>
> request_module[ppp0]: fork failed, errno 1
>
> STRG+c gehts weiter bis modprobe: Can't locate module ppp0
> STRG+c gehts weiter bis zum start von Postfix, danach geht es nicht
> mehr weiter, auch ein wechsel auf eine andere Console ist nicht mehr
> möglich.
>
> Habe Postfix jetzt aus den runlevels gelöscht, habe nun wieder ein promt.
> wie könnte ich jetzt weiter verfahren?
Naja, wie in meiner vorigen Mail beschrieben. Welche Dienste laufen auf
dem Rechner? Auf welchen Ports wird gelauscht? Gibt es Auffälligkeiten
in /bin, /usr/bin usw. (zB auffällige Timestamps) ? Laufen ungewöhnliche
Prozesse? Was ich vorhin noch vergessen hatte, hast du die besagten
Dateien aus /tmp noch? was sagt 'file telnet{d,d.1,d.2}'? Wenn es
binaries sein sollten, lass mal 'strings drüber laufen, das gibt einem
oft einen ersten Anhaltspunkt, um was für binaries es sich handelt.
Wenn du eine Standard Woody Installation hast kannst du die md5sums
evtl. mit denen von der CD vergleichen.
Hast du dir mal die logfiles in /var/log genauer angeguckt? Ungefährer
Einbruchszeitpunkt könnte in etwa der sein, als die besagten Dateien in
/tmp/ angelegt wurden.
Findet 'chkrootkit' etwas?
Es wäre schon sinnvoll, rauszufinden _wie_ der Rechner gehackt wurde,
denn sonst hast du auch nach einer Neuinstallation evtl. das gleiche
Sicherheitsloch im System. Da die Dateien www-data gehören, liegt es
- wie gesagt - nahe, daß sich über den WebServer Zugriff verschafft
wurde. Ältere Versionen von OpenSSL hatten Sicherheitslöcher, deshalb
meine Frage nach den installierten Versionen.
Zu den oben genannten Fehlermeldungen kann ich leider nicht viel sagen.
gruß,
andreas
Reply to: