Форум русскоязычного сообщества Ubuntu


Увидели сообщение с непонятной ссылкой, спам, непристойность или оскорбление?
Воспользуйтесь ссылкой «Сообщить модератору» рядом с сообщением!

Автор Тема: Perhaps in the system exist a rootkit...  (Прочитано 1318 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн zx400bx2

  • Автор темы
  • Новичок
  • *
  • Сообщений: 29
    • Просмотр профиля
Perhaps in the system exist a rootkit...
« : 16 Март 2010, 18:43:57 »
Здравствуйте.
Есть подозрения, что в системе есть руткит или что-то подобное...
Система:

Distributor ID:   Ubuntu
Description:   Ubuntu 9.04
Release:   9.04
Codename:   jaunty

Linux 2.6.28-18

====================================
nmap'ом обнаружил открытые порты

623/tcp                                 # Nessus говорит что такой же порт есть и по udp
16992/tcp

nmap не обнаружил еще и 69/udp
а nessus обнаружил 69/udp    # судя по описанию TFTP, но конект не получаеццо... даже баннера никакого нет.

netstat -an | grep LISTEN
netstat -lnp | grep LISTEN

портов 16992, 623 - нетстатом не обнаружил....

  Вот я и думаю, почему ЛИСТИНГа этих портов не видно по netstat. ss....

Пробовал подсоединится к 16992 порту по http выдат страницу "Intel® Web UI for Consumer is not supported. "
На 69 и 623 порт подсоединится не удалось...  

Проверил систему на rootkit
chkrootkit - ничего
rkhunter - тоже вообщем-то ничего...

[17:24:13] /usr/sbin/unhide                                  [ Warning ]
[17:24:13] Warning: The file '/usr/sbin/unhide' exists on the system, but it is not present in the rkhunter.dat file.
[17:24:14] /usr/sbin/unhide-linux26                          [ Warning ]
[17:24:14] Warning: The file '/usr/sbin/unhide-linux26' exists on the system, but it is not present in the rkhunter.dat file.



« Последнее редактирование: 17 Март 2010, 10:12:02 от zx400bx2 »

Оффлайн athost

  • Старожил
  • *
  • Сообщений: 1897
    • Просмотр профиля
Re: Perhaps in the system exist a rootkit...
« Ответ #1 : 16 Март 2010, 19:12:38 »
Используй поиск.

По rkhunter https://forum.ubuntu.ru/index.php?topic=84198.0

По портам ничего не понял. Покажи вывод nmap

Оффлайн vadim-nsk

  • LoCo команда
  • Старожил
  • *
  • Сообщений: 1318
  • Жить надо так, как горит пламя!
    • Просмотр профиля
    • Linux в Новосибирске
Re: Perhaps in the system exist a rootkit...
« Ответ #2 : 16 Март 2010, 19:34:05 »
сервер интеловский?

Оффлайн Karl500

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 2240
    • Просмотр профиля
Re: Perhaps in the system exist a rootkit...
« Ответ #3 : 16 Март 2010, 21:05:25 »
Скорее всего, это Intel V-Box.

Оффлайн zx400bx2

  • Автор темы
  • Новичок
  • *
  • Сообщений: 29
    • Просмотр профиля
Re: Perhaps in the system exist a rootkit...
« Ответ #4 : 17 Март 2010, 10:07:53 »
сервер интеловский?

Да

Intel® Desktop Board DG43NB

Пользователь решил продолжить мысль 17 Март 2010, 10:05:14:
Удалил все пакеты, которые связанные с Exim4 и сам Exim4,
затем заставил SQUID висеть на внутреннем интерфейсе...,

еще раз просканнировал удаленный компьютер (который возможно был заражен)

Порты 623/udp и 16992 пропали...
остался только 69/udp

Странно, почему я эти порты не видел по netstat (кстати 69 в netstat тоже не отображается...)

Странно все это... очень странно...
Надо логи копать...

А вот это уже интересно, похоже на технологию "Port knocking"...

TIME-WAIT  0      0              *:39119         xx.xx.32.135:60097   
TIME-WAIT  0      0              *:39121         xx.xx.32.135:60097   
TIME-WAIT  0      0              *:39113         xx.xx.32.135:60097   
TIME-WAIT  0      0              *:39114         xx.xx.32.135:60097   
TIME-WAIT  0      0              *:39120         xx.xx.32.135:60097

 ???
« Последнее редактирование: 17 Март 2010, 12:23:56 от zx400bx2 »

 

Страница сгенерирована за 0.059 секунд. Запросов: 22.