Router RedHat @home unbekannter root zugriff

[svenk]

Also gestern stellte ich fest durch reinen zufall das wohl wer mein root passwort gehackt hatt.
durch seine "doofheit" den befehl "unset HISTFILE" falsch zu schreiben war die history noch vorhanden und ich wollte mich neu ins inet einwählen wo mir befehle auffielen die NIE von mri eingegeben wurden. nun kein ding ging der sache nach und es stellte sich heraus das auf jedenfall unbefugter zugriff war. das system lässt sich nicht mehr runter fahren es kommt folgende fehlermeldung:

Code: Select all

shutdown -r now

Broadcast message from root (pts/1) (Tue Jun 24 08:12:24 2003):

The system is going down for reboot NOW!
[zkmem](1.1)
idt=0xc037d000, sct[]=0xc0302c30, Can't find kmalloc()!

Es wurde samba installiert sowie nen ftp user angelegt.
mag die seite hier nicht unbedingt posten wo die scripte gesaugt wurden weis net ob es scripte sind die anderen verhelfen solche dinge zutun. Wäre super wenn mir mal einer der mir helfen könnte ne pn schickt dann zeige ich die seite gerne weil ich gerne wissen würde ob wer diese seite bzw diese scripts kennt. und vorallem wie er an mein root passwort kam. es ist mit sicherheit kein sicheres aber auch unmöglich zu erraten.

[dodolin]

a) Welche öffentlich erreichbaren Dienste hast du auf diesem Rechner laufen? Einer davon wird wohl das Einfallstor gewesen sein... Hast wohl nicht immer rechtzeitig die Security-Updates eingespielt, weil du meintest, auf einem @home-Rechner ist das egal, was? ;) Ok, ich höre auf, du bist ja schon gestraft genug.

b) -> http://www.iks-jena.de/mitarb/lutz/usen ... ml#Angriff

c) Wie in b) beschrieben, Logs alle sichern und durchgucken, besonders von den Diensten aus a). Und vor allem: Sofort den Rechner physikalisch vom Netz trennen (Netzwerk- und/oder ISDN-Kabel rausziehen, etc.) :!:

[svenk]

Jo thx

hmm jo stimmt nachlässig schon :)

meine fehler war wohl für ein paar tage die iptables zu ändern damit ich in icq files bekommen konnte normal ist so eingestellt nur nach anfrage vom internen netz nach drausen aktzeptiert der server ankommende anfragen über eth1

dienste sind nur webmin und ssh sonst nichts

werde mich mal an die arbeit machen

[dodolin]

dienste sind nur webmin und ssh sonst nichts

Dann solltest du schauen, welche Versionen du davon eingesetzt hast und ob dafür Exploits oder zumindest sicherheitsrelevante Bugs bestehen.