authlog: Falsche Username/UID-Kombination für su-Einträge
Hallo!
Auf einem unserer Server (Sarge) erscheinen regelmäßig solche Einträge
im authlog:
| su[7510]: (pam_unix) session opened for user root by username(uid=1000)
Das Merkwürdige ist, dass der Name "username" ständig wechselt, die UID
jedoch gleich bleibt. Der Benutzer mit der UID hat sich auch tatsächlich
und erlaubterweise root-Zugang verschafft, doch das Wechseln der Namen
hat erst auf einen Angriff schließen lassen.
Hat jemand eine Erklärung für eine solche Veränderung? Das System ist
übrigens über NIS angebunden. "id" liefert unterschiedliche UIDs für die
Benutzer.
Danke im Voraus
Stephan
Reply to: