निफेगा एक रोटी, या एक हैक की कहानी के लिए चला गया

यह सब इस तथ्य के साथ शुरू हुआ कि उन्होंने मदद के लिए मुझे (एक फ्रीलांसर के रूप में) बदल दिया और एक्सिम 4 को कॉन्फ़िगर करने के लिए कहा ताकि मेलिंग सूची स्पैम में न गिरे। यहां तक ​​कि सावधानी से एक अद्भुत लेख के लिए एक लिंक भेजा।

DNS को अपडेट करने सहित कुछ घंटों के लिए काम करें, लेकिन यह वहाँ नहीं था। रूट के रूप में लॉग इन करते हुए, मैंने स्क्रीन -x कमांड के साथ अपनी पसंदीदा स्क्रीन को आदत से बाहर कर दिया और प्रिय / देव / शम फ़ोल्डर में सबसे उत्सुक क्रिया देखी। हमलावर ने स्क्रीन सत्र को बंद करने की जहमत नहीं उठाई, या अभी भी इसमें काम कर रहा था। और फिर खोज शुरू होती है:

मैंने सबसे पहले देखा कि हमलावर क्या कर रहा था:

wget http: // ravenul.zzl.org / it / noi / up / 8.txt
mv 8.txt list.txt
php lol.php
php lol.php
netstat -an | grep : 22
w
rm -rf list.txt
w
rm -rf .x
netstat -an | grep : 22

जाहिरा तौर पर, उसने स्पैम भेजा और एक निश्चित ".x" फ़ाइल (या यह एक फ़ोल्डर था?) भाग गया, और ssh कनेक्शन की भी जाँच की। Php स्क्रिप्ट lol.php के साथ एक संग्रह भी था, जिसे मैं दुर्भाग्य से सहेजना भूल गया था।

अंतिम और जो कमांड का आउटपुट कुछ भी अलौकिक नहीं दिखा, एक महीने के लिए कोई रूट सत्र नहीं थे, जो सर्वर के मालिक द्वारा पुष्टि की गई थी। हालांकि ...

$ lsof -ni | grep ssh

आईपी 172.190.125.14 के साथ एक स्थापित कनेक्शन दिखाया, जिसे मैंने तुरंत बंद कर दिया।

/ Usr / sbin / sshd पर ध्यान आकर्षित किया

$ ls -la / usr / sbin / sshd
-rxxr-xr-x 1 रूट रूट 320724 अक्टूबर 11 23:29 / usr / sbin / sshd

Sshd0 sshd के बगल में पड़ा था

$ ls -la / usr / sbin / sshd0
-rxxr-xr-x 1 रूट रूट 757356 Jul 31 2010 / usr / sbin / sshd0

फ़ाइल को हटाने से कुछ नहीं हुआ:

$ rm -f / usr / sbin / sshd
rm : नहीं निकाल सकते `/ usr / sbin / sshd ': ऑपरेशन की अनुमति नहीं है

आगे बढ़ते हैं

$ lsattr / usr / sbin / sshd
-उ - ia ------------- / usr / sbin / sshd
$ बक- बक / usr / sbin / sshd
$ rm / usr / sbin / sshd
$ lsattr / usr / bin / * | grep -v - '-------------------'
-उ - ia ------------- / usr / bin / ssh
$ चट्टी -उई / usr / बिन / ssh
$ rm / usr / bin / ssh

ओपनश-सर्वर और ओपनश-क्लाइंट को रिइंस्टॉल करना । सब कुछ ठीक लगता है, कोई खतरा नहीं है, कुछ भी संदिग्ध नहीं मिला। मैंने सिस्टम को अपडेट करने के लिए उसी समय फैसला किया, और तजदता पुरानी थी (हाय मेदवेदेव!)। जाँच की गई /etc/apt/sources.list और /etc/apt/source.d । सभी फाइलें क्रम में हैं, कोई भी बाईं रेखा नहीं है, तिथियां वर्ष-दर-वर्ष नहीं बदली गई हैं। और apt-get अपडेट के बाद नए कर्नेल सहित, डेबियन लेनी पर सभी सुरक्षा अपडेट लागू किए गए। खैर क्या। रिबूट करने की आवश्यकता है। बस मामले में, मैंने केवीएम से पूछा (जैसा कि यह व्यर्थ नहीं निकला) और इंतजार करना शुरू कर दिया।

अगले दिन उन्होंने केवीएम प्रदान किया। मैंने "रिबूट" टाइप किया और यहां आप पर है: दर्जनों विभाजन दोष। बाल भूरे होने लगते हैं, हाथ हिलने लगते हैं। सामान्य तौर पर, मुझे लगता है कि कई लोग मेरी स्थिति का प्रतिनिधित्व करते हैं। जैसा कि कहा जाता है, "अगर यह काम करता है - DO NOT KNOW!", लेकिन पैठ का पता लगाने के बाद, मुझे अपडेट लागू करना और रिबूट करना पड़ा।

संक्षेप में, मैंने खुद को एक साथ खींच लिया, अध्ययन करना शुरू कर दिया कि क्या मामला था और एक ही उपयोगकर्ता में बूट किया गया था। माउंट कमांड हर बार एक सेगमेंटेशन फॉल्ट को आमंत्रित करता है, जिसे यह कहा जाता है, यहां तक ​​कि मापदंडों के बिना भी। फ़ाइल सिस्टम आसानी से पढ़ा जाता है, कुछ भी नहीं किया जा सकता है। / etc / fstab ठीक है, df भी काम करता है। किसी कारण के लिए, तिथि आदेश भी segfolt है। मैंने एक डिस्क चेक (सॉफ्टवेयर raid1) fsck.ext3 / dev / md0 शुरू किया - सब कुछ क्रम में है, कोई विचलन नहीं। मामला क्या है? फिर मैं सोचने लगता हूं कि मैंने सिस्टम लगा दिया, क्योंकि tzdata पैकेज को अपडेट किया, जो समय के साथ समान है। और फिर मेरे प्रदाता के साथ DSL कनेक्शन टूट जाता है ... मैं मॉडेम का पुनर्निर्माण करता हूं - कनेक्शन बढ़ जाता है, ठीक है, अच्छा!

सर्वर का स्वामी अयोग्य है क्योंकि सर्वर कई घंटों के लिए बंद हो गया है, और इन्फोबॉक्स समर्थन के लिए एक टिकट लिखने का फैसला किया है। मैं देशद्रोह पर कायम हूं, मैं सिस्टम में इधर-उधर ताकझांक करता हूं। सबसे समझदार फैसला मुझे लगता है कि मशीन और बूट को रिबूट से रिबूट करें ताकि ड्राइव आरडब्ल्यू हो, और फिर परिस्थितियों पर। उन्होंने वर्तमान में संभव तरीकों से माउंट डेब्यू करना शुरू कर दिया। gdb स्थापित नहीं किया गया था, केवल ldd था, जिसने कुछ भी गंभीर नहीं दिखाया और LD_DEBUG = सभी को निर्यात किया , जिसमें अलौकिक भी नहीं था। सभी पुस्तकालयों के आरंभ के बाद सेगोल्ट बेवकूफी से शुरू हुआ। तब केवीएम मुझे बताता है कि इसे बंद कर दिया गया था। जाहिर है, कैलीपर भाग गया। उसने लैपटॉप छोड़ दिया और आगे सोचने लगा ...

जब मैं खड़ा था और ताजी हवा में सांस ले रहा था, एक बहुत ही शिक्षित तिलचट्टा मेरे सिर में दौड़ गया और उसने कहा, "क्या होगा अगर फाइलें जो सेगफॉल्ट का कारण बनती हैं, खराब हो जाएं?" जल्दी से नहीं कहा। मैं इंतजार कर रहा हूं कि ग्राहक समर्थन के लिए टिकट के बारे में क्या कहेगा। कुछ मिनटों के बाद, वह मुझे एक कैलीपर प्रतिक्रिया भेजता है:

विभाजन तालिका क्षतिग्रस्त है, इसे पुनर्स्थापित करने के लिए तरीकों को व्यक्त करना संभव नहीं है।

यदि आप चाहें, तो हम बहाली के लिए हमारे सिस्टम प्रशासकों (काम की लागत प्रति घंटे 870 रूबल) को आकर्षित कर सकते हैं।

या आप इसे स्वयं कर सकते हैं। इस स्थिति में, हम Gpart (http://packages.debian.org/en/sid/gpart) का उपयोग करने की सलाह देते हैं

मैंने खुद को हॉर्सरैडिश माना ... मैं क्लाइंट को बताता हूं कि यह नहीं हो सकता, क्योंकि fsck ने डिस्क की जाँच की और फ़ाइल सिस्टम में कोई उल्लंघन नहीं पाया। क्लाइंट समर्थन के लिए एक उत्तर लिखता है, और उस समय केवीएम रिटर्न तक पहुंचता है, जहां मुझे माउंट , एचडीपीआरएम को कॉल करने के सभी समान व्यर्थ प्रयास दिखाई देते हैं, जो सिस्टम पर स्थापित नहीं है, और fdisk के साथ काम करता है।

बाद वाले ने इससे अधिक कुछ नहीं काटा:

$ fdisk -l

डिस्क / देव / एसडीए : 160.0 जीबी, 160041885696 बाइट्स
255 हेड, 63 सेक्टर / ट्रैक, 19457 सिलेंडर
इकाइयां = 16065 * 512 = 8225280 बाइट्स के सिलेंडर
डिस्क पहचानकर्ता: 0x000f0571

डिवाइस बूट स्टार्ट एंड ब्लाक आईडी सिस्टम
/ dev / sda1 1 18480 148440568 + fd लिनक्स रेड ऑटोडेट
/ dev / sda2 18481 19457 7847752 + fd लिनक्स रेड ऑटोडेट

डिस्क / देव / एसडीबी : 160.0 जीबी, 160041885696 बाइट्स
255 हेड, 63 सेक्टर / ट्रैक, 19457 सिलेंडर
इकाइयां = 16065 * 512 = 8225280 बाइट्स के सिलेंडर
डिस्क पहचानकर्ता: 0x00000000

डिवाइस बूट स्टार्ट एंड ब्लाक आईडी सिस्टम
/ dev / sdb1 * 1 18480 148440568 + fd लिनक्स छापे ऑटोडेट
/ dev / sdb2 18481 19457 7847752 + fd लिनक्स रेड ऑटोडेट

डिस्क / देव / md0: 152.0 GB, 152003018752 बाइट्स
2 हेड, 4 सेक्टर / ट्रैक, 37110112 सिलेंडर
इकाइयां = 8 * 512 = 4096 बाइट्स के सिलेंडर
डिस्क पहचानकर्ता: 0x00000000

डिस्क / dev / md0 में एक मान्य विभाजन तालिका नहीं है

डिस्क / देव / md1: 8036 एमबी, 8036024320 बाइट्स
2 हेड, 4 सेक्टर / ट्रैक, 1961920 सिलेंडर
इकाइयां = 8 * 512 = 4096 बाइट्स के सिलेंडर
डिस्क पहचानकर्ता: 0x00000000

डिस्क / dev / md1 doesn t में एक वैध विभाजन तालिका नहीं है

नवीनतम डिस्क पर आधारित / dev / md0 में एक वैध विभाजन तालिका समर्थन नहीं है और पता चला है कि समस्या विभाजन तालिका में है। वास्तव में, जैसा कि मैंने पहले अनुमान नहीं लगाया था। आखिरकार, fdisk ने कभी सॉफ्टवेयर छापे की विभाजन तालिका नहीं देखी है। मैं अपने सभी विचारों को ग्राहक को बता देता हूं और उस कॉकरोच के लिए एक कपटी योजना विकसित करना शुरू कर देता हूं। मैं कल्पना कर सकता हूं कि समर्थन गाथा कैसे समाप्त होगी और ग्राहक कितना उनकी मदद के लिए सहमत होगा। और राशि की गणना करना मुश्किल नहीं है।

मैं परिवर्तन की तारीख / बिन / माउंट को देखता हूं - अंतिम सर्वर बूट का समय। रिबूट, फिर से तारीख की जांच करें - अंतिम सर्वर लोड का समय। यह अजीब है। इसका मतलब है कि जब इसे लोड किया जाता है तो यह फाइल को संशोधित करता है और कुछ इस "कुछ" के साथ किया जाना चाहिए।

/ tmp - आसानी से। फ़ाइल को सर्वर पर अपलोड करने के लिए, आपको एक लेखन प्रणाली चाहिए। याद करना / देव / शम । मैं नेटवर्क इंटरफ़ेस उठाता हूं, एक आईपी असाइन करता हूं, और डेनी के लिए डिब पैकेज माउंट डाउनलोड करता हूं। अनपैक, रन - वोइला! यह काम करता है! फ़ाइल सिस्टम को रिमाउंट करें, अब यह आरडब्ल्यू है। बातें हो गई!

मैं / बिन / में फ़ाइलों की जांच करता हूं और निम्नलिखित चित्र देखता हूं:

$ एलएस- लतर / बिन
-rwxr-xr-x 1 रूट रूट 96408 Nov 15 18 : 11 vdir
-rwxr-xr-x 1 रूट रूट 30896 Nov 15 18 : 11 pwd
-rxxr-xr-x 1 रूट रूट 30712 नवंबर 15 18 : 11 ping6
-rwxr-xr-x 1 रूट रूट 24252 Nov 15 18 : 11 nc.traditional
-rxxr-xr-x 1 रूट रूट 8612 Nov 15 18 : 11 माउंटपॉइंट
-rxxr-xr-x 1 रूट रूट 68208 Nov 15 18 : 11 माउंट
-rxxr-xr-x 1 रूट रूट 32244 Nov 15 18 : 11 mknod
-rxxr-xr-x 1 रूट रूट 39144 नवंबर 15 18 : 11 लोडकीक्स
-rxxr-xr-x 1 रूट रूट 17244 Nov 15 18 : 11 मार
-rxxr-xr-x 1 रूट रूट 9764 Nov 15 18 : 11 fgconsole
-rxxr-xr-x 1 रूट रूट 26216 नवंबर 15 18 : 11 गलत
-rxxr-xr-x 1 रूट रूट 8524 Nov 15 18 : 11 dmesg
-rxxr-xr-x 1 रूट रूट 96408 Nov 15 18 : 11 dir
-rxxr-xr-x 1 रूट रूट 51988 Nov 15 18 : 11 dd
-rwxr-xr-x 1 रूट रूट 59148 नवंबर 15 18 : 11 तारीख
-rxxr-xr-x 1 रूट रूट 49440 Nov 15 18 : 11 chgrp
-rwxr-xr-x 1 रूट रूट 30956 नवंबर 15 18 : 11 बिल्ली
-rwxr-xr-x 1 रूट रूट 12252 नवंबर 15 18 : 11 bzip2recover

इसके अलावा, जिस तारीख को फाइलों को हर 3 मिनट और 10 सेकंड में बदला गया था। मैं crontabs के माध्यम से देखना शुरू कर देता हूं, मुझे कुछ भी नहीं मिलता है। कैच lsof 'जो प्रक्रिया फाइलों को संशोधित करती है वह काम नहीं करती है। मैं ps auxww को कम करता हूं और मैं देखता हूं कि एक निश्चित प्रक्रिया कैट / sys / class / net / lo / operstate लटका हुआ है

मैं पैकेज को किल यूटिलिटी के साथ डाउनलोड करता हूं, फ़ाइल / बिन / कैट का नाम बदलकर / बिन / कैट_ करता हूं और प्रक्रिया को नाखून देता हूं। फ़ाइलों को संशोधित किया जाना है। विजय। अब यह सभी संशोधित फाइलों को मूल के साथ बदलने के लिए बना हुआ है। मैं आवश्यक पैकेज डाउनलोड करता हूं और dpkg -i * डिब के माध्यम से स्थापित करता हूं, खुद dpkg के निर्माण की तारीख की जांच के बाद। सभी प्रतिस्थापन किए जाने के बाद, उंगलियां पार हो गईं, मैं रिबूट में प्रवेश करता हूं और केवीएम विंडो देखता हूं। डाउनलोड सफल है, साइट काम कर रही है। इसके बाद, मैं उन संक्रमित फाइलों को स्कैन करता हूं, जिन्हें मैंने क्लैमव के साथ कॉपी किया था और Linux.RST.B-1 FOUND को पाया । किसने कहा कि लिनक्स वायरस नहीं हैं? वैसे, 2001 का वायरस ...

Sshd और ssh को स्कैन करने से कुछ भी नहीं होता है। जाहिरा तौर पर ये केवल संशोधित ssh और sshd हैं । पहला सबसे संभावित रूप से सर्वर के सफल कनेक्शन पर उपयोगकर्ता नाम और पासवर्ड भेजता है, दूसरा सबसे अधिक संभावना सर्वर के लिए एक विशिष्ट पासवर्ड के साथ हर किसी को भेजता है। अब इन फ़ाइलों को खोदने के लिए कोई ताकत नहीं है, लेकिन जो लोग उन्हें डाउनलोड और खोदना चाहते हैं: zalil.ru/32063611

PS यदि टीमों के साथ कुछ गलत है, तो मैं माफी मांगता हूं, उनमें से कई ने एक नकली के रूप में लिखा। Exim4 को कॉन्फ़िगर करना भी अब एक इच्छा नहीं है। मैंने अभी तक पैसे नहीं मांगे हैं हाँ, और किस लिए? मुख्य कार्य पूरा नहीं हुआ है =)
पीपीएस हैलो इन्फोबॉक्स!