[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:51579] Re: 「まとめ」Re: システムをクラッキングされたようです・・
たけばやしです．
> Jan 5 06:25:02 debian su[28479]: Successful su for nobody by root
> Jan 5 06:25:02 debian su[28479]: + ??? root:nobody
> Jan 5 06:25:02 debian su[28479]: (pam_unix) session opened for user
> nobody by (uid=0) Jan 5 06:25:02 debian su[28479]: (pam_unix) session
これって cron.daily じゃないですか？
/etc/cron.daily/find で LOCALUSER=nobody になって updatedb
する処理があります．
試しに /etc/crontab に
* * * * * root cd / && /etc/cron.daily/find
として走らせると，
auth.log に
Jan 9 08:06:01 mishio su[17617]: Successful su for nobody by root
Jan 9 08:06:01 mishio su[17617]: + ??? root:nobody
Jan 9 08:06:01 mishio su[17617]: (pam_unix) session opened for user nobody
by (uid=0)
と残ります．
ちなみに
> Jan 6 22:02:17 debian sshd[605]: Failed password for invalid user
> jessica from 72.1.241.230 port 57954 ssh2
こいつは紛れもなく Bruteforce Attack の跡です．
-----------------------------------------------------------
Shinya TAKEBAYASHI
E-mail: takebayashi.shinya@xxxxxxxxxxxxx
GPG ID: 395EFCE8
GPG FP: 58B2 B5D0 A692 1BD8 328B E31E E027 AC35 395E FCE8
-----------------------------------------------------------
J K <shogijunki@xxxxxxxxxxx> wrote in message <20090109012850.180b64c2.shogijunki@xxxxxxxxxxx
>
*** Subject: [debian-users:51577] 「まとめ」Re: システムをクラッキングされたよう
です・・
*** Date: 2009/01/09 1:29:07
> Kです。
>
> 皆さん色々なアドバイスをありがとうございます。大変勉強になります。
>
> さて、事後の報告です。
> まず、ログファイルから不正アクセスっぽい部分を抜き出しました。
> これで全てではありませんが、他にも不正アクセスっぽい部分が
> あったのですが、さすがにログファイルが非常に長くて解析に疲れ、
> また他にもやらねばならない事がたくさんあるため、今回はこれぐらい
> で・・・。
>
> /var/log/auth.log
> Jan 7 06:25:03 debian su[2319]: Successful su for nobody by root
>
> Jan 6 22:02:27 debian sshd[611]: Failed password for invalid user
> sales from 72.1.241.230 port 58600 ssh2
>
> Jan 6 22:02:17 debian sshd[605]: Failed password for invalid user
> jessica from 72.1.241.230 port 57954 ssh2
>
> Jan 6 22:01:33 debian sshd[581]: Invalid user user from 72.1.241.230
>
> Jan 5 06:25:02 debian su[28479]: Successful su for nobody by root
> Jan 5 06:25:02 debian su[28479]: + ??? root:nobody
> Jan 5 06:25:02 debian su[28479]: (pam_unix) session opened for user
> nobody by (uid=0) Jan 5 06:25:02 debian su[28479]: (pam_unix) session
> closed for user nobody
>
> /root/.bash_history
> cd /bin/
> file .rnd\ /
> cd .rnd\ /
> ls
> ls -la
> file ..
> ls -la
> cd ..
> ls
> cd /
> cd .sc
> cd /bin/.rnd /.. /. / /.sc/scan
> cd /
> ls -la
>
> .bash_historyファイルをもっと見たかったのですが、ログには
> これだけしか残ってませんでした。
> どうやら「..」と親ディレクトリを意味する名前のディレクトリを
> 作っているような感じですね・・。 cd .. って入力すると
> 親ディレクトリに移動しますが、..っていう名前のディレクトリが
> 仮に作成可能で、存在したとしたら、..ディレクトリに移動する
> んですかね？他にもスペースをディレクトリ名に含んで色々隠していますね。
>
> それとこのログを見る限りは、5日の段階で既にクラッキングされている
> ようですね。その間全く気づかなかったと言うわけですね・・・。
> 何をされたのやら・・・ 怖いですね・・・。
>
> 確かにネットワーク犯罪ではありますが、これは警察に言おうとどうしよう
> もない事なんでしょうか？アクセス元IPがアメリカでしたが
> 多分Proxy経由ですよね。
>
> --
> J K <shogijunki@xxxxxxxxxxx>
> --------------------------------------
> Power up the Internet with Yahoo! Toolbar.
> http://pr.mail.yahoo.co.jp/toolbar/
>