Les sigo contando como continuo solucionando este incidente.
Varias cosas seguian sin funcionar correctamente, una de ellas las
entregas del Exim4.
El tema era que algunos ejecutables tienen el SUID de root.
Entonces los busque en otro servidor que esta bien con esto:
# find / -perm +4000 -user root -type f -print
/usr/bin/newgrp
/usr/bin/chfn
/usr/bin/chsh
/usr/bin/gpasswd
/usr/bin/passwd
/usr/bin/at
/usr/bin/traceroute.lbl
/usr/bin/gpg
/usr/bin/lpq
/usr/bin/lprm
/usr/bin/lpr
/usr/bin/mtr
/usr/bin/procmail
/usr/bin/sudo
/usr/lib/pt_chown
/usr/lib/ssh-keysign
/usr/sbin/exim4
/bin/login
/bin/su
/bin/mount
/bin/umount
/bin/ping
/bin/ping6
/sbin/unix_chkpwd
Depsues les puse el SUID nuevamente con
# chmod u+s 'ejecutables'
Y ya esos comandos volvieron a funcionar correctamente.
Todavia faltan restaurar due�os a algunos archivos, pero voy a seguir
hasta arreglarlo todo.
Espero que todo esto le sirva a alguien que pueda llegar a sufir este tipo
de 'atentados' de parte de algun cliente o admin sin cuidado.
Saludos
Mat
On 9/9/06, mat(a)riseup.net <[EMAIL PROTECTED]> wrote:
SI !
Y funciono perfecto, les cuento lo que hice.
Cree un nuevo cron en /etc/cron.daily/
Eso se ejecuta a las 6 AM
Este era el cron:
#!/bin/sh
chown -R root:root /bin
chown -R mat:mat /var/run/screen/S-mat
Porque como habia dicho, yo tenia una sesion de screen ahi abierta donde
estaba logueado como root.
Ahora, el asunto es que yo me habia olvidado que lo habia hecho,
entonces
ayer estuve pensando ya en comenzar a hacer el backup al otro servidor,
para
pedir la reinstalacion.
Entonces ayer a la tarde, me logueo en el servidor y es casi automatico
que ejecute 'screen -rd' y PUM, veo que estaba con el prompt de root.
Me dejo recuperar mi sesion de screen. :)
Todavia no puedo hacer 'su', pero apenas entr., instal. 'sudo' con
apt-get
y ahora ya puedo hacer 'sudo su' y ser root.
Todavia falta un largo trabajo reestableciendo due.os de archivos, pero
al
menos ya tenfo control nuevamente del servidor.
Escribo todos los paso por si a alguien mas le pasa algo parecido, lo
pueda solucionar de esta forma.
Saludos y gracias nuevamente a todos los que tiraron alguna idea.
Mat
On 9/8/06, Francisco Amato <[EMAIL PROTECTED]> wrote:
> Probaste lo de cron que postearon?
>
> On 9/7/06, mat(a)riseup.net <[EMAIL PROTECTED]> wrote:
> > Si, eso es lo que se me habia ocurrido.
> > Que ejecuten
> > # chown -R root:root /bin /etc /sbin /usr/sbin /usr/bin
> > Y esperar a que con eso me pueda loguear como root.
> > Despues tendre que hacer un trabajo chino comparando y arreglando
> > usuarios de archivos y directorios.
> > Y si nada de eso funciona, moveremos los datos al otro servidor y
> > pediremos una reinstalacion completa.
> >
> > Sobre bajar el paquete de sudo y desempaquetarlo, lo hice, pero
estoy
en
> > lo mismo, porque para que funcione el owner DEBE ser root y no puedo
> > poner a root como owner de ningun archivo.
> >
> > Gracias por los datos e ideas y si a alguien mas se le ocurre algo
para
> > probar, es bienvenido.
> >
> > Mat
> >
> >
> > On 9/7/06, Gabriel Pati.o <[EMAIL PROTECTED]> wrote:
> > > 2006/9/7, mat(a)riseup.net <[EMAIL PROTECTED]>:
> > > > El acceso desde la consola como root, tiene que seguir
funcionando.
> > > > Asi que la ultima que creo me queda es llamar al datacenter, que
se
> > > > logueen como root y que cambien los permisos de los ejecutables
de
> > /bin
> > > > A ver si con eso ya puedo pasar a root y despues cambiar los
duenios
> > de
> > > > todo el filesystem.
> > > > Son dos servidores iguales, asi que el volver a poner los owners
> > > > correctos, no deberia ser problema, mirando el segundo servidor
y
> > copiando
> > > > todos los owners.
> > > > Son dos Debian Sarge.
> > > >
> > >
> > >
> > > Si.. con un poco de paciencia lo sacas funcionando.
> > >
> > > Acordate de pedir que tambien te cambien el owner de /sbin,
/usr/bin
y
> > /usr/sbin
> > >
> > > y los archivos /etc/passwd, /etc/shadow, /etc/sudoers y algun otro
> > > critico de seguridad que puedas necesitar ahora.
> > >
--
--
Para desuscribirte tenés que visitar la página
https://listas.linux.org.ar/mailman/listinfo/lugar-gral/
/* Publica y encontra trabajo relacionado con softlibre en
http://www.usla.org.ar/modules/jobs/ */
Si tenés algún inconveniente o consulta escribí a mailto:[EMAIL PROTECTED]
