OVH : HackedMachineExample
nobody 8889 47.8 1.6 13140 2092 ? R Dec08 2711:09 /usr/local/apache/bin/httpd
nobody 7208 0.0 0.2 2100 260 ? T Dec09 0:00 ./telek
Palvelin saattaisi olla vain osittain hakkerioitu, mutta...
Tässä on kaksi irc-bounceria.
#ps auxw |grep 11133
Mutta ps ei näe niitä.
Prosessi on olemassa, joten ps on korvattu hakkerin omalla versiolla, joka onnistuu vain root-oikeuksilla. Palvelin on asennettava uudestaan, mutta voimme sitä ennen tutkia hieman lisää.
Hakkerit suorittavat usein samat toimenpiteet: He korvaavat kriittiset komennot omilla versioillaan, jotta heitä ja heidän ajamia sovelluksia ei havaittaisi. Yleensä he päivittävät tietoturva-aukot, jotta kukaan muu ei pääsisi samalle palvelimelle, mutta tällä kertaa hakkeri on estänyt päivittämisen.
1:procps [100%]
Nyt näemme sen selvästi
Kmod yrittää hyödyntää < 2.4.20 kernelin haavoittuvaisuutta ptracessa. Palvelimen kerneli on kuitenkin 2.4.21. Siinäkin on tosi eri haavoittuvaisuus, joten se täytyy päivittää uusimpaan.
#chattr -suSiadAc /sbin/ifconfig
#rpm -Uvh ftp://rpmfind.net/linux/redhat/7.3/en/os/i386/RedHat/RPMS/net-tools-1.60-4.i386.rpm
1:net-tools [100%]
Lopetamme tähän ja asennamme palvelimen uudestaan.
Miten palvelimeen oli murtauduttu?
Hakkeri oli löytänyt haavoittuvaisuuden PHP-skriptissä. Hän oli sitä kautta päässyt palvelimelle nobody-käyttäjäksi. Kernelin 2.4.21 haavoittuvaisuuden avulla hakkeri oli saanut itselleen root-oikeudet.