Re: [ml] suckit

Il mer, 2004-09-08 alle 18:27, Marco Bellini ha scritto:
> ciao a tutti,
> scusate la banalità della domanda ma non ho esperienza nel campo.
> stasera abbiamo trovato una macchina (vecchia red hat 7.3) bucata,
> perché all'avvio si presentava la scritta che diceva che veniva avviato
> suckit.

A che livello di patch era?
La cosa mi interessa perchè conosco delle RH 7.2 e 9.0 ancora in giro,
anche se patchate con tutto ciò che RH aveva messo a disposizione.

> l'abbiamo staccata dalla rete, ovviamente. vorrei sapere quale sarebbe
> la migliore prassi da seguire per cercare di capire
> 1. chi è entrato

Credo che dipenda molto da dove sono i log. Se sono a bordo del sistema,
dubito possano essere di una qualche utilità.

> 2. come ha fatto (forse un overflow di apache, am come faccio a
> verificarlo? appena posso posto i log di apache con quella riga
> sospetta...)

Vai su securityfocus e troverai l'elenco di tutte le vulnerabilità per
il tuo sistema.
Puoi anche provare, ma non lo ho mai fatto, a consultare la mailing list
di RH. Lì trovi un elenco delle vulnerabilità relative ai sistemi RH.

> 3. se ha compromesso altre macchine
> 

Questo dipende molto da come sei in grado di rispondere alle precedenti
domande e da come sono protetti gli altri sistemi.

> in sintesi, vorrei sapere come muovermi per non perdere dati utili e
> fare danni... suggerimenti o letture da fare sono ben accetti!
> 
> grazie
> 
> Marco
-- 
Gelpi ing. Andrea
*************************
Landmines must be stopped
*************************