Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Разбор последствий взлома Linux-хостов выявил странную актив..., opennews (?), 01-Дек-11, (0) [смотреть все] Да все проще Центос ломать одно удовольствие там обновления безопасности по го, Аноним (-), 16:07 , 01-Дек-11, (3) +3 // Можно подумать что у hardhat а какой-то особый ssh , Аноним (-), 16:31 , 01-Дек-11, (6) +3 // Да, есть маленько А еще у них ядро особое , Аноним (-), 16:40 , 01-Дек-11, (7) +1 // И чего у них там есть Про ядра заскипано неинтересно Про ssh расскажите , Аноним (-), 17:15 , 01-Дек-11, (18) SELINUX, Аноним (-), 17:28 , 01-Дек-11, (22) Вы что, блондинка Или зачем тут капс Кроме того, если уж хост взломали - значи, Аноним (-), 19:34 , 01-Дек-11, (42) –3 Гадайта гадайте, вот еще вариант - может как в 99 9999999 всех остальных случае, anonymous (??), 01:46 , 02-Дек-11, (80) +3 А еще был опровергнута теория о том, что nix - это защищенные системы , Аноним (-), 14:28 , 02-Дек-11, (105) –3 А вот это как бы это зависит от метода взлома А то может и правда подобрали суп, Аноним (-), 16:47 , 02-Дек-11, (124) Вообще-то, сверх защищённые За пару минут можно закрыть так, что и сам не попад, Кирилл (??), 19:47 , 02-Дек-11, (142) Тамошний ssh имеет очень мало общего с аналогичной версией из мейнстрима Наприм, Аноним (-), 14:31 , 02-Дек-11, (107) Очень полезно пихать в песочницу рута , Кирилл (??), 14:50 , 02-Дек-11, (114) Бес полезно для рута бес полезно для всех остальных юзеров , Аноним (-), 16:10 , 02-Дек-11, (121) А зачем нужен рут в песочнице Чтобы дети могли поиграть в сисадмина , Аноним (-), 16:48 , 02-Дек-11, (125) Куда интереснее -каким макаром произошло проникновение А что, что ПО меняли, т, Анонище (?), 16:43 , 01-Дек-11, (8) +2 // Journal там пока что не внедрили, так что без шансов , Аноним (-), 16:51 , 01-Дек-11, (12) // А что бы это изменило , Аноним (-), 16:59 , 01-Дек-11, (15) // Никто бы даже не узнал о взломе, очевидно , Аноним (-), 18:20 , 01-Дек-11, (33) –2 Да, на системах с syslog о взломе можно узнать только если повезет , Аноним (-), 14:15 , 02-Дек-11, (101) Удалённая регистрация событий вывод всех событий авторизации на старый добрый , Кирилл (??), 14:48 , 02-Дек-11, (113) Получится такой аналог Journal в стиле прошлого века P S Кстати, тут пробегала , Аноним (-), 15:59 , 02-Дек-11, (119) Почему прошлого У меня так на всех шлюзах Регистрация всех важных событий лока, Кирилл (??), 19:41 , 02-Дек-11, (139) До тех пор, пока хакеры не начнут их поджигать , Аноним (-), 16:26 , 03-Дек-11, (151) сколько нарушителей и за сколько лет поймали, если не секрет , аноним1 (?), 22:40 , 09-Дек-11, (165) Прочиталось как с рулоном туалетной бумаги, извините , Аноним (-), 16:49 , 02-Дек-11, (126) Туалетную утащат , Кирилл (??), 19:45 , 02-Дек-11, (141) Был бы более-менее доверительный механизм удаленного логгирования, с авторизацие, Аноним (-), 14:18 , 02-Дек-11, (102) Он есть И rsyslog и syslog-ng имеют возможность передачи по SSL и проверкой хэш, Кирилл (??), 14:52 , 02-Дек-11, (115) Но логам-то все равно нельзя верить Как справедливо заметил Поттеринг, любой тр, Аноним (-), 15:58 , 02-Дек-11, (118) А вот помешать Апачу писать в лог от своего имени ему заметно сложнее , PereresusNeVlezaetBuggy (ok), 16:04 , 02-Дек-11, (120) Да и незачем Смысл записи во много определяется ее контекстом А нужный контекс, Аноним (-), 16:12 , 02-Дек-11, (122) В плане Запись из error_log, указывающая на попытку взлома, чем только ни допол, PereresusNeVlezaetBuggy (ok), 16:14 , 02-Дек-11, (123) А что помешает хакеру убрать ее втихарика без палева , Аноним (-), 16:50 , 02-Дек-11, (127) Отсутствие прав если ещё не рут, а только пытаеццо , PereresusNeVlezaetBuggy (ok), 19:10 , 02-Дек-11, (136) Ну так если успешно попытается - права будут У поттеринга он может разве что це, Аноним (-), 19:55 , 02-Дек-11, (143) Вот пока он будет пытаться, его и засекут Если за машиной будут следить только , PereresusNeVlezaetBuggy (ok), 19:59 , 02-Дек-11, (145) Или не засекут, в зависимости от мастерства хакера и админа Ну, можно посадить д, Аноним (-), 12:40 , 09-Дек-11, (161) Эта возможность была озвучена, так как она возможно, но не слишком вероятна А в, PereresusNeVlezaetBuggy (ok), 16:03 , 09-Дек-11, (163) А зачем ее куда-то девать Достаточно накидать туда еще пару сотен тысяч таких ж, Аноним (-), 18:31 , 02-Дек-11, (133) Ещё раз от анализатора логов Которому пофиг на остальной мусор, хоть из , PereresusNeVlezaetBuggy (ok), 19:11 , 02-Дек-11, (137) Еще раз лог заполняется не мусором, а вполне определенными записями, соответств, Аноним (-), 16:29 , 03-Дек-11, (152) И как вы собираетесь подделывать логи Вот вам access-лог Apache Имеем отметку в, PereresusNeVlezaetBuggy (ok), 21:29 , 03-Дек-11, (155) Так надо сделать чтобы не пофиг было Кидаем еще 100500 записей в таком же ду, Аноним (-), 12:42 , 09-Дек-11, (162) В таком случае фэйковые логи по определению будут идти _после_ реальных Этого, PereresusNeVlezaetBuggy (ok), 16:05 , 09-Дек-11, (164) Причём тут верить или не верить Главное зарегистрировать хронологию событий Оч, Кирилл (??), 19:43 , 02-Дек-11, (140) которых не было Любой бот может завалить лог гигабайтными потоками какбэ со, Аноним (-), 16:31 , 03-Дек-11, (153) что за Journal, простите , аноним1 (?), 22:44 , 09-Дек-11, (166) Не хочу гуглить, вкратце просветите, какими инструментами и для каких фс помимо, Вова (?), 17:50 , 01-Дек-11, (24) // http www opennet ru base sys recover_file10 txt html, Hugo Reyes (ok), 18:02 , 01-Дек-11, (28) +1 testdisk погугли , CrustY (?), 18:27 , 01-Дек-11, (34) +3 foremost, igron (ok), 19:51 , 01-Дек-11, (45) +1 спасибо всем , Вова (?), 07:55 , 02-Дек-11, (89) photorec, ext3grep , Аноним (-), 14:29 , 02-Дек-11, (106) Да никто там особо не заботился о том чтобы не взломали , выполнили свою задачу , Аноним (-), 18:51 , 01-Дек-11, (37) Автору конечно спасибо за труды, но непонятно, к чему повествование В 2009 каки, Аноним (-), 19:15 , 01-Дек-11, (38) +1 // Что с 2009 года в CentOS есть незакрытая дыра, дающая удалённо root , Аноним (-), 19:35 , 01-Дек-11, (43) +3 // Если с 2009 года не обновляться, как это любят делать ценители центоса - запрост, Аноним (-), 14:32 , 02-Дек-11, (108) В последнем CentOS 5 x пакет openssh-4 3p2-72 el5_7 5 i386 rpmВ 4 3p2-10 была ис, Аноним (-), 20:04 , 01-Дек-11, (47) +1 Не понятно из новости, что за хосты были взломаны и как они были связаны с Duqu , AdVv (ok), 20:45 , 01-Дек-11, (48) +1 При чтении оригинальной заметки с картинками вспомнился старый добрый симулятор, AdVv (ok), 20:48 , 01-Дек-11, (49) +2 // Это что-то типа fate , Аноним (-), 16:51 , 02-Дек-11, (128) // http ru wikipedia org wiki Uplink_ 28 D0 B8 D0 B3 D1 80 D0 B0 29, AdVv (ok), 11:29 , 28-Дек-11, (169) Что за дурь По моему все до единого сисадмины знают, что такой доступ верх беза, Аноним (-), 21:23 , 01-Дек-11, (50) // Дефолтовые настройки меняет мизерный процент сисадминов Даже если в системе вхо, Аноним (-), 22:34 , 01-Дек-11, (54) –1 Дурь это делать наоборот - вместо этого самому городить самодельные костыли, ник, anonymous (??), 01:48 , 02-Дек-11, (81) // Вы хотите сказать что отключить вход по логину root - это дурь делать наоборот , Аноним (-), 01:59 , 02-Дек-11, (84) // на каком сервере IP у вас тоже генератором паролей выбирается , qpq (ok), 02:35 , 02-Дек-11, (85) На моем Конечно нет Что за бред пишете и, главное, зачем , Аноним (-), 05:48 , 03-Дек-11, (148) это был сарказм как быпросто, пытался понять, зачем генерить случайное имя для п, qpq (ok), 12:20 , 09-Дек-11, (160) Да, дурь Нормальный пароль не подберут в обозримом будущем Сам пароль передает, Аноним (-), 05:48 , 02-Дек-11, (86) Тем, что 1 крякеру надо сначала угадать юзеровский логин для удаленного входа, к, xdsl (?), 06:53 , 02-Дек-11, (87) +1 А вы сидите и tail ом логи смотрите 24х7, SubGun (ok), 10:19 , 02-Дек-11, (94) А откуда следует что их останется больше чем при получении рута Кроме того, ну , Аноним (-), 12:03 , 02-Дек-11, (98) Ммм, контейнер Если ядро достаточно старое, есть шансы вылезти на хост с руто, Аноним (-), 14:34 , 02-Дек-11, (109) А в случае лени и паранойи надо виртуалки юзать Из них вы уже тоже умеете вылез, Аноним (-), 16:52 , 02-Дек-11, (129) Такой шанс бывает редко - для xen или vmware такие дыры находят раз в несколько , Аноним (-), 18:33 , 02-Дек-11, (134) Классная пьянка Мало что мой логин в виде 8x1UsNxKtW8B увели и сообразили что, Аноним (-), 05:45 , 03-Дек-11, (147) аксиома а не зависимо от того, включен или выключен логин от рута, ssh ведет себ, Аноним (-), 17:38 , 02-Дек-11, (132) +3 Бред какой-то Не понял, при чем тут разные системы, и еще у вас что, на разных м, Аноним (-), 12:55 , 03-Дек-11, (149) Ага, ага , Аноним (-), 14:25 , 02-Дек-11, (104) Вообще, хреновый какой-то пароль если за 8 попыток подбирается Толи вместо адми, Аноним (-), 16:58 , 02-Дек-11, (131) Разумеется, рутовый логин же был разрешен , Аноним (-), 18:34 , 02-Дек-11, (135) Вы действительно так считаете Тогда Duqu идет к вам , Аноним (-), 14:23 , 02-Дек-11, (103) Может быть и верх, но по умолчанию ремотный доступ рутом разрешен во всех дистри, kshetragia (ok), 07:03 , 02-Дек-11, (88) // Нормальные админы эту возможность убирают сразу после создания пользователя, кот, Mikula (?), 10:03 , 02-Дек-11, (91) // зачем не понимаю, выключить авторизацию по паролю и все, reaper (??), 11:48 , 02-Дек-11, (97) А какая глобальная разница Нет, конечно от пароля 777 на руте это спасет, но ес, Аноним (-), 16:54 , 02-Дек-11, (130) Это не так Как раз доступ руту надо явно разрешать Что, видимо, и было сделано, Кирилл (??), 19:37 , 02-Дек-11, (138) Нормальные оси имеют это из коробки , kshetragia (ok), 09:46 , 05-Дек-11, (157) Так как данные были очищены через простое удаление файлов без обнуления областе, Frank (ok), 22:05 , 01-Дек-11, (52) +3 // И тут же после этого By bruteforce scanning the slack unused space in the 82, Frank (ok), 22:08 , 01-Дек-11, (53) +2 // Да уж касперцы снова открыли Америку , скорее нехорошие ребята пользовались r, Евгений (??), 23:06 , 01-Дек-11, (63) +1 // Ну как бы сами же касперцы и намекают на это когда анализируют bash_history , Ytch (?), 01:15 , 02-Дек-11, (78) +1 Не сработал простой метод, попробовали другой и нашли данные, что не так , Аноним (-), 22:36 , 01-Дек-11, (55) Вот что то я не понял Какой смысл в этой новости Больше на какие то сплетни по, chelovek (?), 22:42 , 01-Дек-11, (56) +2 // Ага подбирал пароли не скриптом, а вручную, пописал и сразу правильный пароль по, Аноним (-), 22:54 , 01-Дек-11, (57) // Ну а почему нет Вот у меня бывает умные идеи или в толчке или на курилке приход, chelovek (?), 22:57 , 01-Дек-11, (58) Это период цикла работы брутфорс скрипта Вот к нам тоже, каждый день, аккурат с, pavlinux (ok), 23:00 , 01-Дек-11, (60) +2 // А потом скрипт ума набирается и с первой попытки сразу рутом входит - , Аноним (-), 23:10 , 01-Дек-11, (64) // Ну вообще-то авторизация только по ключам и рута низя Да и вообще, уже перенёс , pavlinux (ok), 23:12 , 01-Дек-11, (65) +1 Такая же фигня Я вот думаю создать, что ли, пару из этих файлов, да написать та, Ytch (?), 00:25 , 02-Дек-11, (73) +4 180 0 0 0 2 можно смело банить 13x 0 0 0, 6x 0 0 0 , 3x 0 0 0 - самые ботнетц, pavlinux (ok), 00:49 , 02-Дек-11, (74) Тогда уж советую -A INPUT -m geoip --source-country A1,AD,AE,AF,AG,AI,AO,AP,AQ,A, un4me (??), 11:46 , 06-Дек-11, (159) зачОтно , ФФ (ok), 10:11 , 02-Дек-11, (92) Эта идея существует уже давно и называется honeypot Настоящие исследователи в о, Аноним (-), 14:37 , 02-Дек-11, (110) +1 Если хост не сильно критичный к нагрузкам то весьма забавно на некоторое время в, stamnik (ok), 00:58 , 02-Дек-11, (76) +1 По-моему, эту штуку удалили из ядра лет пять назад, как минимум , Аноним (-), 14:40 , 02-Дек-11, (111) Оригинал гласит да и по логам в оригинале видно Не было никакого перерыва Вхо, Ytch (?), 01:49 , 02-Дек-11, (82) +1   // Перерыв был, но не 8, а 3 минуты по скриншоты лога отлично видно, что последня, Аноним (-), 10:33 , 02-Дек-11, (96)   Злоумышленники обновили OpenSSH до 5 версии, это самое интересное Это наверное,, Аноним (-), 22:59 , 01-Дек-11, (59) // Долгое время это была RedHat для бедных, все работало как часы Но со времен ког, anonymous (??), 01:56 , 02-Дек-11, (83) Всё просто Алгоритм взлома 1 Используется скрипт, который ищет в сети серверы , Аноним (-), 23:14 , 01-Дек-11, (67) // Если читал внимательно, то рута получили обычным бутфорсом , pavlinux (ok), 23:28 , 01-Дек-11, (68) +1 // Это вам так кажется - Вначале разведку провели, а уже потом тяжелая артиллерия, Аноним (-), 23:37 , 01-Дек-11, (71) +1 // Мне не кажется, читаю то, что пишут В качестве наиболее вероятного способа прон, pavlinux (ok), 00:21 , 02-Дек-11, (72) перебор за 8 минут у меня что-то на это очень много времени уходило, скорее вс, Xing (?), 08:48 , 02-Дек-11, (90) У меня обычно стоит fail2ban который при 3х неудачных попыток подбора добавляет , Аноним (-), 17:47 , 26-Дек-11, (168) Дйля беспарольного доступа ssh использует, в основном, две крипто системы -- rsa, adolfus (ok), 01:02 , 02-Дек-11, (77) +1 ИМХО, хакеры не хотели, чтобы кто-то переимел систему за счёт какой-то незакры, PereresusNeVlezaetBuggy (ok), 01:32 , 02-Дек-11, (79) // А банальный firewall когда успели отменить и не тебе брутфорс, и не тебе не, StaS (??), 13:33 , 02-Дек-11, (99) // Фаервол не спасёт от медленного перебора Судя по времени подбора, там банально , PereresusNeVlezaetBuggy (ok), 14:46 , 02-Дек-11, (112) Вы о чём, уважаемый И что вы подразумеваете под банальный firewall Настолько, Кирилл (??), 14:59 , 02-Дек-11, (117) // на столько банальный что не светит на весь мир ssh порт, что сводит к минимуму б, StaS (??), 19:57 , 02-Дек-11, (144) А вот это в 99 случаев - глупость Ибо лишает самого админа возможности операти, PereresusNeVlezaetBuggy (ok), 20:01 , 02-Дек-11, (146) Не, надо так После того как стало понятно, что это попытки взлома, перенаправлят, vi (?), 14:40 , 03-Дек-11, (150) Этот прорыв в математике совершили еще до 21 века советские ученые Кроме того, , wildhawk (?), 13:28 , 04-Дек-11, (156) // дайте ссылку пожалуйста , anonymous (??), 12:50 , 05-Дек-11, (158) Там в bash_history прикольный команды, особенно улыбнуло iptables -F, а если по, Аноним (-), 16:59 , 03-Дек-11, (154) Брутфорс мозга верить в непроверенные гипотезы каспера призрака шалунишку , кото, Аноним (-), 17:39 , 26-Дек-11, (167) 3,8,24,37,38,47,48,49,50,52,56,59,67,77,79,154,167

Сообщения

[Сортировка по времени | RSS]

	82. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+1 +/–
	Сообщение от Ytch (?), 02-Дек-11, 01:49
	>"Против данной гипотезы указывает то, что пароль был подобран после относительно небольшого числа попыток и перед первым удачным входом был восьмиминутный перерыв" Оригинал гласит (да и по логам в оригинале видно): >Note how the "root" user tries to login at 15:21:11, fails a couple of times and then 8 minutes and 42 seconds later the login succeeds. Не было никакого перерыва. Вход был осуществлен через 8 минут 42 секунды после начала подбора. И это, по их версии, как раз лишний раз подтверждает теорию подбора пароля: >This is more of an indication of a password bruteforcing rather a 0-day. So the most likely answer is that the root password was bruteforced.
	Ответить | Правка | К родителю #56 | Наверх | Cообщить модератору

	96. "Разбор последствий взлома Linux-хостов выявил странную актив..."	+/–
	Сообщение от Аноним (-), 02-Дек-11, 10:33
	> Не было никакого перерыва. Вход был осуществлен через 8 минут 42 секунды > после начала подбора. И это, по их версии, как раз лишний > раз подтверждает теорию подбора пароля: Перерыв был, но не  8, а 3 минуты: по скриншоты лога отлично видно, что последняя неудачная попытка была 15:27:12, а затем вход в 15:29:53
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема