August 1998 - openSUSE Users (Deutsch)

Hackversuche auf meinen Rechner!?
by f.scharfenorth＠bv.tu-berlin.de 30 Aug '98

30 Aug '98

Hi folks, ich habe gestern mal einige log-files durchsucht und bin in der Datei /var/log/http.access.log auf einig interessante Zeilen gestoßen! Und zwar folgende: "c497602-a.frmt1.sfba.home.com - - [02/Jul/1998:09:03:33 +0200] "GET /cgi-bin/phf?QALIAS=x%0A/bin/cat%20/etc/passwd" 404 - curie.cs.ucdavis.edu - - [06/Jul/1998:03:40:33 +0200] "GET /cgi-bin/phf" 404 - curie.cs.ucdavis.edu - - [06/Jul/1998:03:40:33 +0200] "GET /cgi-bin/test-cgi" 200 440 curie.cs.ucdavis.edu - - [06/Jul/1998:03:40:34 +0200] "GET /cgi-bin/handler" 404 -" Da hat doch unter anderem einer versucht die Sicherheitsluecke im Apache mit dem PHF-Script auszunutzen, oder? Dieses ist aber nicht vorhanden auf meinem Rechner, von daher nehme ich an, konnte er keinen Infos über meinen Rechner herausgefunden haben. Doch dann habe ich mir die Datei /var/log/messages angesehen und bin auch ueber einige Zeilen gestolpert, die genau zum gleichen Datum und anschließend protokolliert wurden. Ich kann damit allerdings nichts anfangen, vielleicht kann mir einer erklaeren, was sie bedeuten?! "Jul 2 06:53:15 mac1 su: (to nobody) root on none Jul 2 07:00:00 mac1 /USR/SBIN/CRON[4239]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 08:00:00 mac1 /USR/SBIN/CRON[4243]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 09:00:00 mac1 /USR/SBIN/CRON[4247]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 10:00:00 mac1 /USR/SBIN/CRON[4251]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 11:00:00 mac1 /USR/SBIN/CRON[4266]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 12:00:00 mac1 /USR/SBIN/CRON[4270]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 13:00:00 mac1 /USR/SBIN/CRON[4274]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 14:00:00 mac1 /USR/SBIN/CRON[4278]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 15:00:00 mac1 /USR/SBIN/CRON[4324]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 16:00:00 mac1 /USR/SBIN/CRON[4349]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 17:00:00 mac1 /USR/SBIN/CRON[4356]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 18:00:00 mac1 /USR/SBIN/CRON[4363]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 19:00:00 mac1 /USR/SBIN/CRON[4370]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 20:00:00 mac1 /USR/SBIN/CRON[4505]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 2 21:00:00 mac1 /USR/SBIN/CRON[4816]: (root) CMD (test -x /usr/sbin/faxqclean && /usr/sbin/faxqclean) Jul 6 03:40:30 mac1 in.fingerd[383]: connect from 128.120.56.149 Jul 6 03:40:30 mac1 in.telnetd[384]: connect from 128.120.56.149 Jul 6 03:40:31 mac1 telnetd[384]: ttloop: peer died: Success Jul 6 03:40:31 mac1 imapd[386]: connect from 128.120.56.149 Jul 6 03:40:31 mac1 syslog: error: cannot execute /usr/sbin/imapd: No such file or directory Jul 6 03:40:31 mac1 popper[387]: connect from 128.120.56.149 Jul 6 03:40:31 mac1 syslog: error: cannot execute /usr/sbin/popper: No such file or directory Jul 6 03:40:31 mac1 in.telnetd[388]: connect from 128.120.56.149" Ich habe meinen Rechner eigentlich nicht als Fax-Geraet oder aehnliches im Betrieb (habe auch keinerlei Fax Software von Suse installiert?! Von daher wundere ich mich ueber diese Meldungen - die sich kontinuierlich durch die Datei /var/log/messages ziehen!? Doch Sorgen machen mir eher Meldungen wie "in.fingerd[383]: connect from 128.120.56.149, in.telnetd[384]: connect from 128.120.56.149, imapd[386]: connect from 128.120.56.149, su: (to nobody) root on none" Wie kann ich herausfinden, ab sich jemand root-Rechte fuer meinen Rechner verschafft hat? Und wie kommt jemand auf meine IP-Adresse (mein Rechner haengt im Netzt der Uni) - es gibt keinen Link auf meinen Rechner oder Homepage!!?? Ich habe schon einmal versucht diese Adressen, von welchen die vermeintlichen Hackversuche kamen anzupingen, doch diese waren nicht aktiv oder schickten kein Ping zurueck!? Gibt es Adressen, denen man solche Hackversuche melden sollte? Ich erinnere mich, dass vo ca. einem halben Jahr eine aehnliche Anfrage an die Liste geschickt wurde worauf jemand antworte man sollte dies an eine Institution in Hamburg (wenn ich mich recht erinnere - leider war keine Adresse mit angegeben!?) melden! Vielen Dank fuer Eure Hilfe Gruß Frank -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

6 7

RE: User ohne Rechte
by eschwenk＠fto.de 30 Aug '98

30 Aug '98

On 30-Aug-98 Thomas Lichtenberg wrote: > Folgendes: Ich moechte meine Linux-Kiste fuer eine Art Internet Cafe > waehrend eines Strassenfestes zu Verfuegung stellen. Da ich nicht > dauernd dabeisein kann/will, moechte ich einen User einrichen, der > nur sein "Unwesen" in seinem Verz. treiben darf. > Also sollen Verzeichniss-Wechsel und auch das Anzeigen von files > ausserhalb seines Verz. unterbunden werden. > Gibt es da eine Moeglichkeit, so etwas einzurichten? > > Ich habe zwar einen neuen User eingerichtet, aber der kann natuerlich > auch Verz. wechseln usw. Prinzipiell kann er das schon, aber normalerweise kann er schon vom System her außerhalb seines HOME-Dir wenig anrichten. Sensible Daten und Programme sollten eh auf o-rwx stehen, als normaler User hat er da auf einem ordentlich eingerichteten System wenig Chancen was anzurichten. Alternativ kannst Du das noch weiter einschränken: - Leserechte auf alle nicht benötigten Verzeichnisse bzw. Dateien entziehen, indem der User eine eigene Gruppe kriegt und diese Dateien mit chown o-rwx bearbeitet werden - ein Programm als Shell für den User eintragen, das nur die entsprechenden Aktionen zuläßt - unter X arbeiten und den Desktop des Users so konfigurieren, daß er keine Kommandozeile oder andere kritische Kommandos kriegt. Man kann auch nur X und Netscape starten (ohne WM), so daß weitere Einschränkungen da sind - es gibt auch noch andere Möglichkeiten, bestimmte Kommandos oder Logins zu unterbinden. Siehe hierzu entsprechende Kapitel in <A HREF="http://www.lunetix.de"><A HREF="http://www.lunetix.de</A">http://www.lunetix.de</A</A>>, Manpages und die übliche Doku. =========================================================== Erhard Schwenk - alias Bitrunner =)B==o) =========================================================== No Spam replies please. -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

1 0

News Server
by mhauptmann＠gmx.net 30 Aug '98

30 Aug '98

Hallo ! WEr kennt einen guten News Server ? Meiner vom Provider hat leider nicht alle Gruppen. Markus -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

2 1

Mein ASUS BIOS will PnP nicht abschalten!
by bastian＠kalle.yodanet.schwaebischhall.de 30 Aug '98

30 Aug '98

Hallo, mein ASUS P55T2P4 Board weigert sich/bietet keine Moeglichkeit um den PnP-Support abzuschalten. Das ärgert mich (aus naheliegenden Gründen) fuerchterlich. Liegts an mir? Am Board? An der BIOS Version? Danke Bastian -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

1 0

Hacker...die zweite
by f.scharfenorth＠bv.tu-berlin.de 30 Aug '98

30 Aug '98

Hi folks, wie gestern gepostet, habe zwei Unbekannte versucht meinen Rechner zu hacken. Auf der Suche nach den Uebeltaetern stiess ich gerade auf interssante Spuren im Internet... Ich fand eine Seite, die Ihre "Acces.log" auf der Website praesentieren und darauf fand ich die folgende Zeile: "c497602-a.frmt1.sfba.home.com - - [01/Jul/1998:13:31:40 -0600] "GET /cgi-bin/phf?QALIAS=x%0A/bin/cat%20/etc/passwd" 200 1330" Dies ist eine von den beiden, die aus auch bei mir versucht hatten. Hier scheinbar etwas erfolgreicher, so glaube ich, den es wurden 1330 Bytes zurueckgeschickt, bei mir wurde nichts zurueckgeschickt, da das phf-script nicht installiert war! Wenn ich "c497602-a.frmt1.sfba.home.com" anpinge bekomme ich nichts zurueck und traceroute verlaeuft auch im Nirvana...! Kennt jemand eine "Domain-Search-Engine" die einem alle homepages von *.frmt1.sfba.home.com ausgibt, oder aehnliches? Mir scheint, dass die Domain *.frmt1.sfba.home.com zu einem IP (Internetprovider) gehoert, da ich einige homepages fand, die darauf endeten. Doch den Provider konnte ich noch nicht lokalisieren, um Ihn auf den "Hobbyhacker" aufmerksam zu machen! Vielen Dank "Sherlock Homes auf der suche nach den anonymen Hackern" ;-) -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

2 1

Re: Reply-To: und Antworten direkt an Frager
by lgusewski＠bigfoot.com 30 Aug '98

30 Aug '98

Hallo Liste, >> Ich nehme an, dann wurde auch das Thema Newsgroup vs. Liste schon aus- >> giebig durchgekaut? ;-) > >Eigentlich gar keine schlechte Idee dann würde es auch entfallen dass >man nach ein paar Tagen Abstinenz 400 Mails in der Inbox hat. ich persoenlich wuerde auch einen Newsserver bevorzugen. Viele Mails sind hier (noch) nicht von direktem Interesse fuer mich, dennoch muss ich sie erste einmal vom POP Server abholen. Abgesehen davon scheint mein Postfach durch die Liste uebergelaufen zu sein, so das ich einige Mails aus anderen Info-Listen beim letzten Mal nicht erhalten habe. :-(( Ich habe mich aus diesen Gruenden erst einmal wieder von der Liste abgemeldet. Hoffentlich aendert SuSE diesen Zustand doch noch irgendwann einmal. Tschuess, Lars -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

2 1

OSS (Soundblaster 16)
by richard.brunner＠cable.vol.at 30 Aug '98

30 Aug '98

Ich hab OSS von der S.u.S.E. 5.3 CD installiert. Wie kann ich es starten? Wenn die Datei "oss-linux.runme" anklicke passiert nichts und wenn ich im Terminal "chmod +x oss-linux.runme" eingebe passiert auch nichts! danke rb -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

5 4

BA80 von Nixdorf als Terminal nutzen
by Diernhofer＠Altmuehlnet.baynet.de 30 Aug '98

30 Aug '98

Ich habe hier noch ein altes Nixdorf BA80 Terminal. Es unterstützt angeblich VT24. Kennt jemand dieses Ding und weiß wie ich mir ein Kabel "schnitzen" muß um es unter Linux als Terminal anzuschließen? Hat schon jemand Erfahrung mit einem BA80 Terminal unter Linux? Mit der Bitte um Hilfe Norbert -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

1 0

Systemzeit dauerhaft setzen
by zoechi＠z-edv.co.at 30 Aug '98

30 Aug '98

Hi, wenn ich die Systemzeit mit date -s 10:00 setzte läuft Linux mit dieser Zeit nur bis ich den PC neu boote (ist ja nicht oft, kommt aber vor - um Diskussionen vorzubeugen ;^)) Gibt es da eine andere Methode um die Systemzeit zu setzten oder geht das nur übers Bios-Setup? Guenter Zoechbauer EDV-Dienstleistung -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

3 2

Notebook: PCMCIA Modem also Modul?
by lichtenberg＠home.ivm.de 30 Aug '98

30 Aug '98

Hallo zusammen. Ich versuche hier seit geraumer Zeit, mein PCMCIA Modem ( was immer im Rechner drinsteckt) als Modul einzurichten. Bisher wurde der cardmgr immer beim Booten ausgefuehrt, aber da ich das Modem nicht immer brauche, moechte ich es gerne als Modul einrichten. Alle Versuche sind bisher fehlgeschlagen (bis hin zum Stillstand des Systems beim Booten :-( Weiss jemand, wie man das anstellt, oder weiss, wo es eine gute Anleitung gibt? Besten Dank. Thomas -- Thomas Lichtenberg <A HREF="http://www.home.ivm.de/~lichtenberg/"><A HREF="http://www.home.ivm.de/~lichtenberg/</A">http://www.home.ivm.de/~lichtenberg/</A</A>> -- Um aus der Liste ausgetragen zu werden, eine Mail an majordomo(a)suse.com schicken, mit dem Text: unsubscribe suse-linux

1 0