Jump to content

SUBIECTE NOI
« 1 / 5 »
RSS
Vibratie tevi boiler cand foloses...

Cat stați acasa in medie?

Parere stare drum Sculeni - Chisi...

Necesit ajutor in gasirea a doua ...
 Monitor 4k 27-28' PD USB C

Vacanta Italia

Concediu Halkidiki

Ce vehicule motorizate ați avut d...
 Router Asus nu se conecteaza WAN

Gradina, copaci, arbusti si plant...

Trackpoint Thinkpad

Legare boiler electric trifazat l...
 Upgrade CPU pentru Lenovo ThinkCe...

Mouse wireless multimode (2x BT +...

Durere incheietura piciorului

Reparatie tablou electronic
 

Centos 6

- - - - -
Last Updated: Jan 11 2015 15:00, Started by bunicu9 , Jul 30 2014 10:15  
  ·  
  • Please log in to reply
54 replies to this topic

#37
marco71
Posted 10 January 2015 - 19:42

marco71

    Active Member

  • Grup: Members
  • Posts: 1,487
  • Înscris: 23.11.2004

laurentiu33 said:

...
e IP real , nu are router in fata
...
parola de root era najpa oricum ...
tu ai 'allowed ssh root-access'?? pe ip public?? OMG Posted Image Posted Image Posted Image Posted Image
pai atunci e clar cum te-a hackuit, mai ales daca zici ca parola de root era 'naspa'

#38
laurentiu33
Posted 10 January 2015 - 19:55

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012
netstat -v
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address    Foreign Address State
tcp     0   0 x.y.z.23:53773 192.126.126.64:mxi   ESTABLISHED

asta tot legat de mine sta ....

OS-ul e instalat minimal si nu am numai root , nu am alt user ( pai na , " ieri am scos PC_ul din cutie " , de unde sa stiu atatea :( )

#39
marco71
Posted 10 January 2015 - 20:05

marco71

    Active Member

  • Grup: Members
  • Posts: 1,487
  • Înscris: 23.11.2004
ia posteaza aici pe forum un output la:
# netstat -tnp | grep '192.126.126.64'
ca sa vedem si scriptul/binarul care face conexiunea ...

#40
laurentiu33
Posted 10 January 2015 - 20:15

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012
am gasit in /etc/init.d  tvifkzvgvc  care a fost modificat in 10 ian , adica azi

#!/bin/sh
# chkconfig: 12345 90 90
# description: tvifkzvgvc
### BEGIN INIT INFO
# Provides:  tvifkzvgvc
# Required-Start:
# Required-Stop:
# Default-Start: 1 2 3 4 5
# Default-Stop:
# Short-Description: tvifkzvgvc
### END INIT INFO
case $1 in
start)
/usr/bin/tvifkzvgvc
;;
stop)
;;
*)
/usr/bin/tvifkzvgvc
;;
esac

#41
marco71
Posted 10 January 2015 - 20:27

marco71

    Active Member

  • Grup: Members
  • Posts: 1,487
  • Înscris: 23.11.2004
ai rulat c-da de mai sus?

#42
laurentiu33
Posted 10 January 2015 - 20:27

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012

View Postmarco71, on 10 ianuarie 2015 - 20:05, said:

ia posteaza aici pe forum un output la:
# netstat -tnp | grep '192.126.126.64'
ca sa vedem si scriptul/binarul care face conexiunea ...

192.126.126.64:8005 ESTABLISHED 1576/bash

#43
marco71
Posted 10 January 2015 - 20:31

marco71

    Active Member

  • Grup: Members
  • Posts: 1,487
  • Înscris: 23.11.2004
deci ceva din bash, vreun script probabil...
da output si la:
ps auxf | grep 1576
sa vedem si procesul ...

edit: ... si anuleaza la /usr/bin/tvifkzvgvc dreptul de executie (chmod -x)

Edited by marco71, 10 January 2015 - 20:34.

#44
laurentiu33
Posted 10 January 2015 - 20:32

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012

View Postmarco71, on 10 ianuarie 2015 - 20:31, said:

deci ceva din bash, vreun script probabil...
da output si la:
ps auxf | grep 1576
sa vedem si procesul ...

[root@localhost ~]# ps auxf | grep 1576
root 13053  0.0  0.0   4356   724 pts/0    S+   20:31   0:00   \_ grep 1576
root   1576 17.8  0.0  46212  1320 ?     Ssl  19:45   8:11 bash

#45
marco71
Posted 10 January 2015 - 20:41

marco71

    Active Member

  • Grup: Members
  • Posts: 1,487
  • Înscris: 23.11.2004
hmm...
da si:
which bash

#46
laurentiu33
Posted 10 January 2015 - 20:53

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012
am inchis procesele alea , nu mai flodeaza dar

ipul asta tot e conectat 192.126.126.64:8001 ESTABLISHED 16313/cat resolv.co

View Postmarco71, on 10 ianuarie 2015 - 20:41, said:

hmm...
da si:
which bash

/bin/bash

#47
marco71
Posted 10 January 2015 - 21:05

marco71

    Active Member

  • Grup: Members
  • Posts: 1,487
  • Înscris: 23.11.2004
vezi ca s-ar putea sa ai binarele system rescrise (/bin/bash, /bin/cat) de vreun rootkit ... in cazul asta doar reinstalarea te mai salveaza...
poti da inca un output?
file /usr/bin/tvifkzvgvc

hai sa vedem si:
bash --version
si eventual:
ls -lha /bin/bash

#48
laurentiu33
Posted 11 January 2015 - 00:09

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012

View Postmarco71, on 10 ianuarie 2015 - 21:05, said:

vezi ca s-ar putea sa ai binarele system rescrise (/bin/bash, /bin/cat) de vreun rootkit ... in cazul asta doar reinstalarea te mai salveaza...
poti da inca un output?
file /usr/bin/tvifkzvgvc

hai sa vedem si:
bash --version
si eventual:
ls -lha /bin/bash

[root@localhost ~]# which bash
/bin/bash
[root@localhost ~]#
[root@localhost ~]# file /usr/bin/tvifkzvgvc
/usr/bin/tvifkzvgvc: cannot open `/usr/bin/tvifkzvgvc' (No such file or directory)
You have new mail in /var/spool/mail/root
[root@localhost ~]# file /usr/bin/tvifkzvgvc
/usr/bin/tvifkzvgvc: cannot open `/usr/bin/tvifkzvgvc' (No such file or directory)
[root@localhost ~]# cd file /usr/bin/tvifkzvgvc
-bash: cd: file: No such file or directory
[root@localhost ~]# bash --version
GNU bash, version 4.1.2(1)-release (i386-redhat-linux-gnu)
Copyright © 2009 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software; you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.
[root@localhost ~]# ls -lha /bin/bash
-rwxr-xr-x. 1 root root 850K Sep 26 05:08 /bin/bash
[root@localhost ~]#

#49
laurentiu33
Posted 11 January 2015 - 00:59

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012
192.126.126.64:8001 ESTABLISHED 16313/cat resolv.co
192.126.126.64:8001 ESTABLISHED 31385/ls
192.126.126.64:8001 ESTABLISHED 455/ifconfig eth0
192.126.126.64:8001 ESTABLISHED 1614/top
192.126.126.64:8001 ESTABLISHED 1899/ls
23.234.60.140:80     ESTABLISHED 1899/ls   aici mai apare un IP
23.252.161.214:8001 ESTABLISHED 4191/gnome-terminal
cand inchid procesul , se deschide altul si tot asa ....

am sters fishierul din init.d  si se creeaza altul cu alt nume automat si tot da flood

am sa schimb sistemul maine si am sa fac tot asccesul pe IP

#50
Huza
Posted 11 January 2015 - 12:06

Huza

    Senior Member

  • Grup: Senior Members
  • Posts: 2,417
  • Înscris: 07.11.2006
Si uite c-ai gasit rezolvarea singur, full reinstall, fara discutii, mai ales ca nu ai inca cunostiintele necesare. Daca a putut sa-ti scrie in init.d, baiatul e bagat serios in sistem.
Pe langa asta iti poate salta frumos alte informatii, gen credentialele pt a trimite sms-uri, sa nu vorbim ca macar "secretul" de la snmp pt snmpwalk il ajuta mult sa afle care-i treaba cu infrastructura ta :)
Legat de acces pt 80... ai atatea metode... prima este vpn, si cea mai sigura, daca serverul e important, mai ales cu date de genul asta (aka baza de date clienti, detalii infrastructura, etc) nu-mi dau seama ce-a fost in mintea ta sa-l expui. Deasemenea poti face un mic script in php care sa-ti modifice Allowed access sau iti dai access pe hostname (dyndns sau iti faci tu propriul dynamic dns).

#51
marco71
Posted 11 January 2015 - 13:32

marco71

    Active Member

  • Grup: Members
  • Posts: 1,487
  • Înscris: 23.11.2004

laurentiu33 said:

[root@localhost ~]# which bash
/bin/bash
...
[root@localhost ~]# bash --version
GNU bash, version 4.1.2(1)-release (i386-redhat-linux-gnu)
Copyright © 2009 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
...

vezi ca versiunea aia de bash ar putea fi vulnerabila (shellshock)
dupa reinstalare sa upgradezi pachetul bash; ca sa verifici, da c-da:
rpm -qa | grep bash
si ar trebui sa ai ceva de genul:
bash-4.1.2-15.el6_xxxxxx

#52
laurentiu33
Posted 11 January 2015 - 14:30

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012
am pus CentOS 6.6 acum
[root@localhost ~]# rpm -qa | grep bash
bash-4.1.2-29.el6.i686

si diin iptables am bagat ip-urile mele la ssh , vnc , httpd pe portul 81 , 80 ramane pt toata lumea
se poate intra prin portul 80 prin http ?

#53
Huza
Posted 11 January 2015 - 14:39

Huza

    Senior Member

  • Grup: Senior Members
  • Posts: 2,417
  • Înscris: 07.11.2006
Tu faci o mare confuzie. E doar un standard sa pui apache sa asculte pe portul 80, poti folosi alt port, ca in cazul tau 81.
Daca n-ai un serviciu care sa asculte pe portul ala, cine ai vrea sa intre unde?
Iti recomand cu caldura video tutorialele de la livelessons - RHCSA si RHCE, daca esti roman adevarat, pui tu mana pe ele. Efectiv te trec pas cu pas prin toate conceptele, tu acum bajbai intr-o ceata foarte densa. Administrarea sistemelor nu-i chiar o joaca si cea mai mare prostie e sa actionezi aleatoriu, fara vreo logica in spate - exact ceea ce faci tu acum, nu-ti porneste masina dar tu-i dai 3-4 ciocane in bord ca poate-poate.
Incearca sa intelegi ce se intampla, cum functioneaza ceva si abia dupa te apuci sa-l utilizezi, securizezi, configurezi.
Nu mai face presupuneri, cand nu stii ceva cerceteaza - assumption is the mother of all fuckups!

#54
laurentiu33
Posted 11 January 2015 - 14:44

laurentiu33

    Member

  • Grup: Members
  • Posts: 308
  • Înscris: 27.11.2012

View PostHuza, on 11 ianuarie 2015 - 12:06, said:

Si uite c-ai gasit rezolvarea singur, full reinstall, fara discutii, mai ales ca nu ai inca cunostiintele necesare.  dai access pe hostname (dyndns sau iti faci tu propriul dynamic dns).
Eram curios unde si ce script era ala , deasta incercam sa-l gasesc , bine ca nu-mi place dumineca la PC , dar asta e trebuie reinstalat totul .
In mintea mea " nu a fost nimic" care sa ma sperie , m-am gandit la ceva care sa schimbe parola saptamanal , nu prea am chef sa tot reinstalez sisteme ( lunea trecuta mi-a crapat serverul de Cstrike de n-am mai putut intra pe el nici cu monitor )
despre vpn n-am citit nimic dar m-am gandit .
n-am habar ce si cum se face aia cu host.allow , eu restrictionez totul din firewall ( atata stiu na )
no , ma bag la instalat totul :((
O zii buna 4 all

Anunturi

Neurochirurgie minim invazivă Neurochirurgie minim invazivă

"Primum non nocere" este ideea ce a deschis drumul medicinei spre minim invaziv.

Avansul tehnologic extraordinar din ultimele decenii a permis dezvoltarea tuturor domeniilor medicinei. Microscopul operator, neuronavigația, tehnicile anestezice avansate permit intervenții chirurgicale tot mai precise, tot mai sigure. Neurochirurgia minim invazivă, sau prin "gaura cheii", oferă pacienților posibilitatea de a se opera cu riscuri minime, fie ele neurologice, infecțioase, medicale sau estetice.

www.neurohope.ro
Back to Generalitati

▶ 0 user(s) are reading this topic

0 members, 0 guests, 0 anonymous users

  1. Forumul Softpedia
  2. → Soft Related / OS
  3. → Linux / UNIX / Open Source
  4. → Generalitati
Forumul Softpedia foloseste "cookies" pentru a imbunatati experienta utilizatorilor Accept
Pentru detalii si optiuni legate de cookies si datele personale, consultati Politica de utilizare cookies si Politica de confidentialitate