Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

irgendwelchen Gründen nicht mehr im Besitz des Administrator Paßwortes des LINUX
Servers bin. Der Useraccount funktionierte jedoch noch. Beim Durchsuchen einiger
WWW-Seiten auf Veränderungen stellte ich fest, daß hier Seiten verändert wurden:
"Dieser Server wurde gehackt und komplett übernommen", stand auf der Frontpage groß
und breit. Das Problem ist nur, daß von diesen WWW-Sites ebenfalls die Paßworte
verändert waren. Es schien, daß die peinichen Veränderungen bis zum Montag morgen so
stehen bleiben mußten. Die Frage war aber, wie der Hacker in den Server einbrechen
konnte. Also wurde die Site http://www.rootshell.com durchsucht. Der EXPLOIT war
schnell gefunden, es war der QPOP2 Exploit für den POP3 Server, und auf den WWW-
Server in das User-Verzeichnis kopiert. Der Exploit wurde kompiliert, und auf den eigenen
Server angesetzt. Ich falle direkt in eine ROOT-Shell hinein, und besitze nun die
Supervisor-Rechte. Zuerst muß einmal das Rootpaßwort wiederhergestellt werden. Das
Kommando passwd root funktioniert nicht, aus irgendeinem unverständlichen Grund. Als
Alternative bleibt also nur, einen Eintrag eines anderen Accounts mit dem verschlüsselten
Paßwort in die Zeile von root in der Datei /etc/shadow zu kopieren. Ich kopiere also das
verschlüsselte Paßwort meines Useraccounts in die Zeile des Users root und versuche
mich über meinen Useraccount als ROOT einzuloggen. Es funktioniert. Nun durchsuche
ich alle betroffenen Homepages auf Veränderungen (find /home -mtime 1 ....). Einige
WWW-Seiten wurden verändert, und zwar schon am Vortag. Das erste, was ich nun
mache, ist das Sicherheitsloch zu beseitigen. Ich suche mir vom Hersteller des POP3
Server die neue Version des POP-Dämons, kompiliere ihn neu, und installiere ich ihn
anstelle des Alten. Ich teste den Exploit nocheinmal, zur Sicherheit. Diesmal falle ich nicht
mehr in eine ROOT-Shell, fein. Nun spiele ich die Backups wieder zurück, damit die
Veränderungen des Hackers weitestgehend rückgängig gemacht werden. Inzwischen sind
seit der Entdeckung des Einbruchs ca. 2 Stunden vergangen. Anhand des Datums und
der Uhrzeit der Veränderungen durchsuche ich die Logfiles des Apache-Servers und stelle
fest, daß diese Seiten ein paar Stunden zuvor über einen öffentlich zugänglichen Proxy
zuerst geladen, und dann nach ein paar Stunden wieder zurückgespielt wurden. Ich
durchsuche nun die typischen Log-Dateien auf Veränderungen:
• /var/log/messages - gelöscht
• /var/log/xferlog - gelöscht
• .bash_history - gelöscht
• /var/log/wtmp - unbrauchbar
Alle Log-Dateien, die hätten verwertet werden können, waren gelöscht worden. Mir
bleiben also nur noch die Log-Dateien des Apache Servers, die auf einen frei
zugänglichen PROXY-Server zeigen.
Ich versuche es mit der Wiederherstellung der Datei /var/log/messages mit einem
UNDELETE Befehl, der in einigen Fällen aus dem Filesystem ext2 Dateien
wiederherstellen kann. Fehlanzeige ! Der Einbrecher verwendete offensichtlich den VI
Editor, der I-Node echt ist. Dieser legt keine zweite, temporäre Datei an, die dan später
gelöscht wird, (... - Dateien) sondern dieser kann eine Log-Datei in Echtzeit verändern,
während der SYSLOGD diese weiter beschreibt. Das einzige, was hier nun eventuell noch
geholfen hätte, ist das byteweise Auslesen der gesamten Festplattenpartition mit dd
if="/dev/sda1" of="/dev/..." Dieses hätte vielleicht noch Reste hervorgebracht, ich denke
aber, daß der SYSLOGD gerade dabei war, diese zu überschreiben.....Tja, ohne Beweise
keine Möglichkeit, den Täter zu finden. Die Polizei wird also nicht verständigt.
Am nächsten Morgen führt auch ein Anruf bei dem Betreiber des PROXY zu keinem
Ergebnis, da dieser nicht nur einen PROXY betreibt, sondern auch noch Analog-Zugänge,
in die man sich ohne Paßwort einloggen darf, halt Testzugänge.
Am Abend dieses Montages beschlagnahmt die Staatsanwaltschaft diesen Server. Es ist
angeblich von diesem aus in den Server des Bundesverkehrsministeriums eingebrochen
worden. Die Festplatte dort wurde gelöscht. Im Radio wird zufälligweise genau an diesem
Montag aus berichtet, daß auch in den FDP Server eingebrochen wurde. Es stand dort auf
der ersten Seite geschrieben: 4.9 % sind genug !
Erstellt von Doc Gonzo - http://kickme.to/plugins