[Comm] Попытка взлома?

[Comm] Попытка взлома?

[Владимир Гусев]

[-- Attachment #1: Type: text/plain, Size: 1509 bytes --]

Здравствуйте!

Это происходит с обычными домашними компами так редко, что решил показать  
кусок из messages вам..
Спасибо Gkrellm, как бы его ни ругали, но именно он позволил мне заметить  
необычную активность исходящего трафика.. Это показалось мне странным, так  
как xMule я не запускал..
В общем, насколько я понял, кто-то из Италии может быть перебрал nmap'ом  
порты, увидел запущенные sshd и smb (каюсь, грешен - не пользуюсь ими  
дома) и решил перебором (?) попытаться получить shell(?).
В общем я минут через 20 подошел к компу, увидел активность.. щелкнул по  
сетевому индикатору icewm (netstat). так увидел чей-то IP и похоже  
какие-то попытки.. пришлось зайти root'ом, сделать service network stop и  
посмотреть messages. Фрагмент из них прилагаю.. В конце видно, как зашел я  
и застопил ненужные сервисы..
Не поможете точно расшифровать картину того, что происходило, что он  
пытался и почему писались определенные фразы про hosts.deny (насчет   
warning: /etc/hosts.deny, line 9: missing newline or line too long).
У меня на домашнем компе в hosts.allow ALL:127.0.0.1, в hosts.deny  
ALL:ALL, iptables не включен..

Естественно, что я сам виноват, что в отличие от сервера на работе  
домашний комп "оставил на произвол судьбы", оставил ненужные сервисы и  
т.д. Но с другой стороны - насколько уязвима/неуязвима была моя система  
(Мастер 2.4) с минимальными настройками.. Да и xMule не любит, чтобы я  
находился за файволлом, либо включил iptables..



-- 
С уважением, Владимир Гусев

[-- Attachment #2: alert.txt.gz --]
[-- Type: application/x-gzip, Size: 20916 bytes --]

Re: [Comm] Попытка взлома?

[Pyatnitskich Evgeniy]

On Sat, Sep 24, 2005 at 11:45:48 +0400
Владимир Гусев wrote:

> Не поможете точно расшифровать картину того, что происходило, что он  
> пытался и почему писались определенные фразы про hosts.deny (насчет   
> warning: /etc/hosts.deny, line 9: missing newline or line too long).
> У меня на домашнем компе в hosts.allow ALL:127.0.0.1, в hosts.deny  
> ALL:ALL, iptables не включен..

Я так думаю, что это жалобы на то, что в конце файла hosts.deny нет
перевода на новую строку. Просто станьте на конец последней
строки, и в режиме ввода нажмите Enter :)

> Естественно, что я сам виноват, что в отличие от сервера на работе  
> домашний комп "оставил на произвол судьбы", оставил ненужные сервисы и  
> т.д. Но с другой стороны - насколько уязвима/неуязвима была моя система  
> (Мастер 2.4) с минимальными настройками.. Да и xMule не любит, чтобы я  
> находился за файволлом, либо включил iptables..

Насколько я могу судить, все попытки входа были неудачными. Очередной
юный хаЦкер.

-- 
  -- Regards, P.E.M. <pem at nm dot ru>

Re: [Comm] Попытка взлома?

[Владимир Гусев]

>> Не поможете точно расшифровать картину того, что происходило, что он
>> пытался и почему писались определенные фразы про hosts.deny (насчет
>> warning: /etc/hosts.deny, line 9: missing newline or line too long).
>> У меня на домашнем компе в hosts.allow ALL:127.0.0.1, в hosts.deny
>> ALL:ALL, iptables не включен..
> Я так думаю, что это жалобы на то, что в конце файла hosts.deny нет
> перевода на новую строку. Просто станьте на конец последней
> строки, и в режиме ввода нажмите Enter :)

Понял, исправлюсь.. :)

> Насколько я могу судить, все попытки входа были неудачными. Очередной
> юный хаЦкер.

И слава богу..:) И мне наука.. Не нужно наплевательски относиться к  
домашнему компу..:)



-- 
С уважением, Владимир Гусев

Re: [Comm] Попытка взлома?

[Alexey Borovskoy]

[-- Attachment #1: Type: text/plain, Size: 2477 bytes --]

* Суббота 24 Сентябрь 2005 20:45 Владимир Гусев

> Здравствуйте!

Добрый вечер.

> Это происходит с обычными домашними компами так редко, что
> решил показать кусок из messages вам..
> Спасибо Gkrellm, как бы его ни ругали, но именно он позволил
> мне заметить необычную активность исходящего трафика.. Это
> показалось мне странным, так как xMule я не запускал..
> В общем, насколько я понял, кто-то из Италии может быть
> перебрал nmap'ом порты, увидел запущенные sshd и smb (каюсь,
> грешен - не пользуюсь ими дома) и решил перебором (?)
> попытаться получить shell(?). В общем я минут через 20 подошел
> к компу, увидел активность.. щелкнул по сетевому индикатору
> icewm (netstat). так увидел чей-то IP и похоже какие-то
> попытки.. пришлось зайти root'ом, сделать service network stop
> и посмотреть messages. Фрагмент из них прилагаю.. В конце
> видно, как зашел я и застопил ненужные сервисы..

Судя по логу пробоя не было.

Способ борьбы следующий. В sshd отключается аутентификация по 
паролю, остается аутентификация по ключу. И пусть ломятся в 
дверь сколько угодно.

Затем через whois (www.ripn.net) выясняется чьей сетке 
принадлежит 194.183.2.192. Затем владельцу сетки на abuse@ 
пишется письмо и прикладывается лог.

Владелец настучит юзеру в бубен.

Если не настучит, то через www.ripn.net выясняется через кого 
владелец сетки прокачивает свой траффик (AS peers). И им на 
abuse@ пишется жалоба на владельца сетки. Когда владельца сетки 
поотрубают от Интернета, то он живо настучит юзеру в бубен.

Но можно сделать гораздо проще - настроить iptables и подружить с 
ним xMule.

> Не поможете точно расшифровать картину того, что происходило,
> что он пытался и почему писались определенные фразы про
> hosts.deny (насчет warning: /etc/hosts.deny, line 9: missing
> newline or line too long). У меня на домашнем компе в
> hosts.allow ALL:127.0.0.1, в hosts.deny ALL:ALL, iptables не
> включен..

Девятая строка в /etc/hosts.deny не завершается <Enter>.
Перейдите в конец девятой строки и нажмите <Enter>, ругаться 
больше не будет.

> Естественно, что я сам виноват, что в отличие от сервера на
> работе домашний комп "оставил на произвол судьбы", оставил
> ненужные сервисы и т.д. Но с другой стороны - насколько
> уязвима/неуязвима была моя система (Мастер 2.4) с минимальными
> настройками.. Да и xMule не любит, чтобы я находился за
> файволлом, либо включил iptables..

-- 
Алексей.
GPG key fingerprint
949B BC0E 2C44 7528 4F63  2753 E37A 9E3F 11F3 BDE1

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Попытка взлома?

[Владимир Гусев]

>> Это происходит с обычными домашними компами так редко, что
>> решил показать кусок из messages вам..
>> В общем, насколько я понял, кто-то из Италии может быть
>> перебрал nmap'ом порты, увидел запущенные sshd и smb (каюсь,
>> грешен - не пользуюсь ими дома) и решил перебором (?)
>> попытаться получить shell(?).
> Судя по логу пробоя не было.
> Способ борьбы следующий. В sshd отключается аутентификация по
> паролю, остается аутентификация по ключу. И пусть ломятся в
> дверь сколько угодно.
> Затем через whois (www.ripn.net) выясняется чьей сетке
> принадлежит 194.183.2.192. Затем владельцу сетки на abuse@
> пишется письмо и прикладывается лог.
> Владелец настучит юзеру в бубен.
> Если не настучит, то через www.ripn.net выясняется через кого
> владелец сетки прокачивает свой траффик (AS peers). И им на
> abuse@ пишется жалоба на владельца сетки. Когда владельца сетки
> поотрубают от Интернета, то он живо настучит юзеру в бубен.
> Но можно сделать гораздо проще - настроить iptables и подружить с
> ним xMule.
>> Не поможете точно расшифровать картину того, что происходило,
>> что он пытался и почему писались определенные фразы про
>> hosts.deny (насчет warning: /etc/hosts.deny, line 9: missing
>> newline or line too long).
> Девятая строка в /etc/hosts.deny не завершается <Enter>.
> Перейдите в конец девятой строки и нажмите <Enter>, ругаться
> больше не будет.

Огромное спасибо за советы!



-- 
С уважением, Владимир Гусев

Re: [Comm] Попытка взлома?

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 352 bytes --]

On Sat, Sep 24, 2005 at 09:23:59PM +1300, Alexey Borovskoy wrote:
> Если не настучит, то через www.ripn.net
Э.
apt-get install whois

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

On Wed, Jul 13, 2005 at 09:41:34AM +0400, Anton Farygin wrote:
> у нас задача - срочно перейти
И вот всё у них так.
		-- wrar in devel@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Попытка взлома?

[Владимир Гусев]

> apt-get install whois

Спасибо, конечно..:) но как я в таком случае узнал, что взломщик из  
Италии?:)
Это у меня в числе самых первых и необходимых вещей при устанвоке ОС..



-- 
С уважением, Владимир Гусев

Re: [Comm] Попытка взлома?

[ABATAPA]

Суббота 24 Сентябрь 2005 12:23, Alexey Borovskoy написал:
> Способ борьбы следующий. В sshd отключается аутентификация по
> паролю, остается аутентификация по ключу. И пусть ломятся в
> дверь сколько угодно.
>
> Затем через whois (www.ripn.net) выясняется чьей сетке
> принадлежит 194.183.2.192. Затем владельцу сетки на abuse@
> пишется письмо и прикладывается лог.
>
> Владелец настучит юзеру в бубен.
>
> Если не настучит, то через www.ripn.net выясняется через кого
> владелец сетки прокачивает свой траффик (AS peers). И им на
> abuse@ пишется жалоба на владельца сетки. Когда владельца сетки
> поотрубают от Интернета, то он живо настучит юзеру в бубен.

Это давно автоматизировано. Сам получаю немало таких писем. Но...  Никого не 
отключишь. Долбят не люди, а вирусы. Никто из-за этого не захочет потерять 
клиента. Максимум получается - сказать.
-- 
ABATAPA

Re: [Comm] Попытка взлома?

[Alexey Borovskoy]

[-- Attachment #1: Type: text/plain, Size: 1172 bytes --]

* Понедельник 26 Сентябрь 2005 21:31 ABATAPA

> Суббота 24 Сентябрь 2005 12:23, Alexey Borovskoy написал:
> > Способ борьбы следующий. В sshd отключается аутентификация
> > по паролю, остается аутентификация по ключу. И пусть ломятся
> > в дверь сколько угодно.
> >
> > Затем через whois (www.ripn.net) выясняется чьей сетке
> > принадлежит 194.183.2.192. Затем владельцу сетки на abuse@
> > пишется письмо и прикладывается лог.
> >
> > Владелец настучит юзеру в бубен.
> >
> > Если не настучит, то через www.ripn.net выясняется через
> > кого владелец сетки прокачивает свой траффик (AS peers). И
> > им на abuse@ пишется жалоба на владельца сетки. Когда
> > владельца сетки поотрубают от Интернета, то он живо настучит
> > юзеру в бубен.
>
> Это давно автоматизировано. Сам получаю немало таких писем.
> Но...  Никого не отключишь. Долбят не люди, а вирусы. Никто
> из-за этого не захочет потерять клиента. Максимум получается -
> сказать.

А наши местные провайдеры, такого клиента мгновенно лишат 
траффика по 25 порту. А в договоре написано, что спам и вирусы 
рассылать запрещено.

-- 
Алексей.
GPG key fingerprint
949B BC0E 2C44 7528 4F63  2753 E37A 9E3F 11F3 BDE1

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

[Comm] Re: Попытка взлома?

[Michael Shigorin]

On Mon, Sep 26, 2005 at 12:31:46PM +0400, ABATAPA wrote:
> Это давно автоматизировано. Сам получаю немало таких писем.
> Но...  Никого не отключишь. Долбят не люди, а вирусы. Никто
> из-за этого не захочет потерять клиента. Максимум получается -
> сказать.

В ssh порой -- и студенты, насколько могу судить...

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

Re: [Comm] Re: Попытка взлома?

[ABATAPA]

Понедельник 26 Сентябрь 2005 16:33, Michael Shigorin написал:
> В ssh порой -- и студенты, насколько могу судить...
Что Вы имели в виду?
-- 
ABATAPA

[Comm] [JT] Re: Попытка взлома?

[Michael Shigorin]

On Tue, Oct 11, 2005 at 05:51:51PM +0400, ABATAPA wrote:
> > > Долбят не люди, а вирусы.
> > В ssh порой -- и студенты, насколько могу судить...
> Что Вы имели в виду?

Дословно -- не роботы, а люди.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] [JT] Re: Попытка взлома?

[Aleksander N. Gorohovski]

On Wed, 12 Oct 2005 10:15:00 -0000, Michael Shigorin <mike@osdn.org.ua>  
wrote:

> On Tue, Oct 11, 2005 at 05:51:51PM +0400, ABATAPA wrote:
>> > > Долбят не люди, а вирусы.
>> > В ssh порой -- и студенты, насколько могу судить...
>> Что Вы имели в виду?
>
> Дословно -- не роботы, а люди.
До чего мы дожились

Re: [Comm] Попытка взлома?

[Дмитриев Михаил Николаевич]

Владимир Гусев пишет:

> Естественно, что я сам виноват, что в отличие от сервера на работе  
> домашний комп "оставил на произвол судьбы", оставил ненужные сервисы и  
> т.д. Но с другой стороны - насколько уязвима/неуязвима была моя система  
> (Мастер 2.4) с минимальными настройками.. Да и xMule не любит, чтобы я  
> находился за файволлом, либо включил iptables..

Что-то подобное:
Sep 24 10:57:02 vova pam_tcb[8945]: sshd: Authentication failed for 
UNKNOWN USER from (uid=0)
Sep 24 10:57:02 vova sshd[8946]: Failed password for UNKNOWN USER from 
194.183.2.192 port 56432 ssh2

Было и у меня, только на compact-е, человек пытался пробиться и у него 
оно не получалось. Причем заметил чисто случайно, перейдя на 12-ю консоль.

Естественно, что порты и сервис через который он лез были другими, что 
именно сейчас уже не вспомню. Но с тех пор просматривая регулярно логи 
таких попыток не замечал более.

Re: [Comm] Попытка взлома?

[Владимир Гусев]

> Что-то подобное:
> Sep 24 10:57:02 vova pam_tcb[8945]: sshd: Authentication failed for  
> UNKNOWN USER from (uid=0)
> Sep 24 10:57:02 vova sshd[8946]: Failed password for UNKNOWN USER from  
> 194.183.2.192 port 56432 ssh2
> Было и у меня, только на compact-е, человек пытался пробиться и у него  
> оно не получалось. Причем заметил чисто случайно, перейдя на 12-ю  
> консоль.
> Естественно, что порты и сервис через который он лез были другими, что  
> именно сейчас уже не вспомню. Но с тех пор просматривая регулярно логи  
> таких попыток не замечал более.

ну а я лишний раз убедился в том, что gkrellm не просто виситдля "понтов",  
а своевременно подсказывает о том или ином событии.. ну и более чуткое  
отношение к настройке домашнего компа..

-- 
С уважением, Владимир Гусев

Re: [Comm] Попытка взлома?

[Gleb Kulikov]

В сообщении от Суббота 24 Сентябрь 2005 14:45 Владимир Гусев написал:

> Это происходит с обычными домашними компами так редко, что решил показать

Ага, если бы. Как эти гады дрючат домашние adsl адреса, это просто ^$%$ 
какой-то. "Нормальные" сетки, такой постоянной, пардон, но другого термина и 
не подберёшь, дрочке,  не подвергаются.

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
skype://gleb_kulikov.tomsk
netmail: 2:5005/78