Re: Einbruch?

[Guido Königstein <guido@test.cst.uni-duesseldorf.de>]

Hallo

Am Dienstag, 5. April 2005 11:14 schrieb Florian Pollini:
> Am Dienstag, den 05.04.2005, 11:02 +0200 schrieb Werner Gast:
> >
> > Zu denken gib mir, dass ich in der auth.log eine ganze Reihe von ssh
> > Angriffen stehen habe:
> > Apr. 3 11:38:37 localhost sshd [nnnnn]: Illegal user linux
> > from ::ffff:210.204.129.5
> >
> > Chkrootkit gibt nichts her.
> >
> > Wie mache ich /var wieder beschreibbar? Und wie finde ich heraus, ob das
> > System kompromittiert wurde?
> >
> > Schoene Gruesse aus der Lueneburger Heide
>
> Hallo,
> erstmal nachsehen ob es nicht wirklich ro gemountet ist.
> Wenn eine Platte ein Dateisystemfehler hat kann es gut sein das diese
> zwar rw angezeigt wird aber den noch nicht beschreibbar ist.
> Am besten mal einen Check laufen lassen und dann rw remounten.
> Was die Meldungen angeht das hat wohl jeder Millionenfach in den Logs.
> Diese Art kannst du getrost überlesen.
>

Es sei denn man hat nen User test mit passwort test ;-)

Viel Glück

Guido