해킹? bok, Elite, NetBus등의 포트가 열려있습니다;
글쓴이: lacovnk / 작성시간: 월, 2005/08/08 - 8:49오후
Quote:
PORT STATE SERVICE
1/tcp open tcpmux
9/tcp open discard
11/tcp open systat
13/tcp open daytime
15/tcp open netstat
22/tcp open ssh
25/tcp open smtp
37/tcp open time
79/tcp open finger
80/tcp open http
111/tcp open rpcbind
119/tcp open nntp
139/tcp open netbios-ssn
143/tcp open imap
445/tcp open microsoft-ds
540/tcp open uucp
635/tcp open unknown
1080/tcp open socks
1524/tcp open ingreslock
2000/tcp open callbook
2401/tcp open cvspserver
3306/tcp open mysql
6667/tcp open irc
12345/tcp open NetBus
12346/tcp open NetBus
27665/tcp open Trinoo_Master
31337/tcp open Elite
32771/tcp open sometimes-rpc5
32772/tcp open sometimes-rpc7
32773/tcp open sometimes-rpc9
32774/tcp open sometimes-rpc11
54320/tcp open bo2k
bo2k라니 -o-
그래서 재설치를 하려고 합니다.
1. 사용자 홈 디렉토리 백업
2. mysql DB 백업
3. svn, cvs 데이타 백업
4. apache 설정 백업 (virtual host)
5. /etc/passwd 백업 - 몇명 사용자가 되지 않으므로, 비번은 재설정해줄 참입니다;; uid 문제 때문에 ㅎ
.. 또 뭐가 있을까요?;
덧.
그리고 일단은 /var/log/ 이하를 묶어서 보관해둘 참입니다 -o-
덧2.
오싹하군요 ㅎㅎ
사용하는 프로그램만 설치하고 서비스해야 한다는 것을 뼈저리게.. (원인은 아직 모르지만; )
사용자의 php 화일을 통한 공격을 걸러내거나, 위험성을 감소시킬 수 있는 툴이 있나요? sql injection이라든가.. 음음. 그냥 업뎃 열심히 해야 하는건가 -o-
Forums:
Re: 해킹당한듯;; 백업할 데이터가 뭐가 있을까요?
bo2k 만 보시고 해킹당했다고 판단하시는건가요? 위에 열거된 NetBus 나 Trinoo 도 트로이 목마 일종입니다.
해킹당했다고 단정짓기보단.. lsmod 로 프로세스 일단 확인해보시고 원인을 파악하는게 급선무일것같군요.
재설치한다해도 원인이 제거되지 않는다면 다시 당할게 뻔하지 않습니까?
그리고.. 리눅스 시스템 아닌가요? 아직까지 리눅스용 트로이목마가 있다는 얘기는 들어본적이 없습니다. 뭔가 다른 프로그램이 해당 포트를 사용하고 있을 가능성이 커 보이는군요.
portsentry죠 8)놀라지 마시고 이번 기회에 백업은 해두세
portsentry죠 8)
놀라지 마시고 이번 기회에 백업은 해두세요. ^^
portsentry를 사용하고 있었는데..
portsentry는 사용은 하고 있었는데, 맨날 인증 실패해서 블락시켰다는 메일이 매일같이 날아오던 터라 -_-
무심결에 지나갔는지.. 으음.
트립 무슨 프로그램이, 특정 binary의 변조 여부를 체크할 수 있다던데, 설치해봐야겠습니다 -o-
아, 적지 않았는데 (당연히) nmap localhost로 테스트해서 나온 결과입니다. ㅎ
리눅스 시스템 맞습니다. Debian 사용중이고요. 근데 다음 말씀을 이해하지 못하겠습니다. 조금만 더 자세히 설명해주세요~
같은 LAN에 있는 다른 컴퓨터가 Virus에 걸려있을 수도 있는데, 그렇다고 해서 linux (samba를 사용합니다)의 nmap에 저게 뜰 것 같지는 않은데 (linux 자체에서 실행이 되어야 포트가 열리는게 아닌가요?)
현재 작업은 홈 디렉토리 백업, /etc와 /var 백업입니다. 그리고 전원을 내려두었고 (더워요!).. 서비스 재개를 미루더라도 원인 분석에 들어가야 할지 고민중입니다. 저 이외에 세명이 홈페이지를 사용하고 있는터라 -o-
Re: portsentry를 사용하고 있었는데..
그 '트립 무슨 프로그램'이란 것은 시스템 최초 설치 후, 인터넷에 연결하기 직전에 설치해서 주요 파일의 지문 내지는 족적을 기록해 두는 것입니다. 이미 한동안 운영중인 시스템이 타협했는지 안했는지 모르는 상황에서는 얼마나 효용성이 있을지 모르겠군요.
Re: portsentry를 사용하고 있었는데..
tripwire였군요 ㅎ
재설치할 경우였습니다;
일단 여기 저기 뒤져보면서 조사중입니다. 하루 해보고, 내일 서비스 원상복구하려고요;
인젝션등 외부에서 내부 저장된 파일을 실행시키는 방법을 완전히막을순
인젝션등 외부에서 내부 저장된 파일을 실행시키는 방법을 완전히
막을순 없지만(우회연구가 계속되므로)
아파치나 php설정중에 외부 인젝션을 가능하지 않도록 만드는
옵션이 있었던것 같군요..기억이 가물가물해서 ㅡ,.ㅡ::
allow_url_fopen 인가 하던거 같습니다.
외부에서 주입된 주소로 파일을 실행시킬수 있는것에 대한 옵션으로
기억하고 있군요...ㅡ.,ㅡ::
그리고 제로보드나 기타 php기반 보드들을 사용하신다면
php프로그램코드의 무결성을 항상 신경써서 체크해 줘야 합니다.
물론 sql또한 그렇구요..... sql인젝션또한 php와 연결된 로그인, 혹은
DB처리의 경우 인젝션에 주의하셔야 합니다만...........
귀찮으시다면 잦은 백업과, 재설치를 하시는것도 괜찮습니다......
내 마음속의 악마가 자꾸만 나를 부추겨.
늘 해왔던 것에 만족하지 말고 뭔가 불가능해 보이는 것을 하라고 말야.
이상하네요;
설치를 하고 인터넷에 연결하고 (dmz나 포트포워딩을 설정하지 않았기 때문에 외부에서 이 컴퓨터로 연결은 불가능합니다. 공유기 사용중) 돌리니까 다시 NetBus와 Elite, bo2k가 뜹니다 -o-
혹시 같은 랜의 windows system에 뭔가 있는지 확인중입니다.
조언 부탁드립니다 :)
과연 어떤 프로그램이 이 포트를 뚫어줬는지 궁굼하군요...해킹 당하셨
과연 어떤 프로그램이 이 포트를 뚫어줬는지 궁굼하군요...
해킹 당하셨다고 생각되어지는 컴퓨터에서,
root로 "netstat -antp" 명령어 넣어주면 아마 그 포트를 뚫어준 process이름이 뜰듯 해보입니다...
--------------------------
`0-
-0`
이상하네요..
으음.. portsentry가 감시를 위해 포트를 열어놓은 걸로 추정중입니다. (아래 결과 중 가장 아래 두개가..)
정말 그런가요? portsentry를 사용하고 있는 다른 분들은 어떤가요?
netstat -antp
nmap localhost
nmap -v 하면 다음 내용이 덧붙여지네요;
/var/log/syslog
/etc/portsentry/portsentry.conf
posrtsentry가 원인인 것 같습니다.
설치 전에는 그런 포트가 없다가, 설치하면 생기는군요.
으음.. portsentry에 대한 간단하고 (나름) 강력한 설정 어디 없을까요? ㅎㅎ
portsentry에 의해 열린게 맞습니다. 저도 깔긴 했는데. 제대로
portsentry에 의해 열린게 맞습니다. 저도 깔긴 했는데. 제대로 설정이 안된 것인지 스캐닝에 별 반응이 없네요.. 열심히 구글링중이건만;; 땀만 삐질..
----
http://returnet.blogdns.com
portsentry에 의해 열려진것이 맞습니다. ('__)/
저도 현재 서버를 기동중인데, portsentry로 기동중인 상황에서 nmap을 해보니 bo2k, Netbus 포트가 열린것이 나오네요.
첨엔 황당했었는데 좋은 공부했다는 생각이 듭니다.
한글이 안되네요. 우째 이런일이 ... 몇자 올리고 다시금 수정하겠습니다.
포트센트리에서 열어?(관리해주는)주는 포트들이 맞습니다.진짜로 서비스
포트센트리에서 열어?(관리해주는)주는 포트들이 맞습니다.
진짜로 서비스(데몬)이 돌지 않더라도 스캔시에는 보시는것 처럼 모든 포트센트리에서 관리하는 정보들이 나타나게 됩니다.
Portsentry.conf 에서 보면
부분 보시면 될것 같구요.
도 참고 하시고..
포트센트리를 쓰면서 주의할 점은..
어떤 서비스에 제한을 두느냐.. 인듯..
디폴트 셋팅은 한번 아이피가 블록 되면 그 서버에서 제공하는 모든 서비스를 받을 수 없도록 되어있던걸로 기억합니다.
다중으로 원하는 서비스만 제한을 걸어서 못 받게 하는 법도 그다지 까다롭지 않습니다.
nmap기능중에 유인스캔이라는게 있을텐데..
그것 역시 둘다 잡혀버리네요.
재미있게 생각한건 c라는 사람이 b가 a로 부터 받으려는 서비스를 못 받게 하기 위해 유인스캔기능을 써버리면..
정작 스캔을 한 사람은 c지만 b또한 a에서 서비스를 받을 수가 없다는것..
모든 OS를 사용해보자~!!
-놀고먹는백수가 되고 싶은 사람-
댓글 달기