From: Serdar KOYLU (skoylu@gizemcafe.net)
Date: Mon 30 Jun 2003 - 23:03:50 EEST
Selamlar..
Yok, aslinda tam olarak dakika dakikada izledigimi soyleyemem.. Sistemde, log
dosyalarini, calisan uygulamalari filan takip eden bir uygulamam var. Bash
yerine baska bir uygulama var. Bash execve'ye parametre olarak gecince, yani
herhangi bir uygulama bash calistirmak isteyince log uretiyor. Yazdigim bir
programin parcasi aslinda. O uyanmis mevzuya. Bir suru mail atmis saga sola.
Bizim diger elemanlar mailleri bana soylediler. Bende obur tarafta anten imal
etmeye ugrasiyordum. Oturdum seyrettim ne yapiyor bu sabalak diyerekten. 3-4
saat ugrasti. Arada biraktim kendi haline, gittim antenimi yapmaya. Arada
soyle bakindim, saat 22:00 gibi bir kac tanesi daha bulmus ocagi.. Garibim
statik IP'li, bir ton servis calisan, hatta DNS kaydi filan tam olan bir
sistem buldum diye sevincten ziplamislardir goge..
Yok, harbiden is yapan bir makine olsa, sakasi yok, perisan edecekler.
Bilhassa pek isi bilmeyen birileri alip ayakustu bir MDK/RH filan kurayimda
calissin dese, 2-3 gun icinde 5-10 kisi tarafindan hijacked terminal olarak
kullanilmaya baslayacak.
Dahasi son gunlerde, listelerde bu konularda acemi oldugu belli, kablonet
filan kullanan arkadaslara rastliyoruz. Carpilacaklar, Linux ne menem berbat
bir seymis diyecekler..
Bu ilk saldiri 80.97.41.90 adresinden geldi. Polonya'da bir yerlere kayitli.
RIPE'deki kayitli adminine mail attim. Sanirim o da hijacked bir alet.. Soyle
bir baktim kabaca. Benim asil is yaptigim dosyalar baska bir makine uzerinde,
onumdeki aleti bir terminal gibi kullaniyorum. Maillere filan bakiyorum, klip
seyrediyorum vs. Yani hic bir iyi veya kotu guvenlik onlemi alinmis degil.
Root sifresini soylesem pes hocam, bu kadar basibos birakilmaz sistem
dersiniz.
Dogrusu boyle yapinca, son derece enteresan bilgilere ulasiyor insan. Tek
lanet olasi taraf su virus bulastirma hastaliklari. Ele gecirmissin aleti,
niye boyle yapmaya cikip uyandiriyorsun ki admini ? Acemi cracker iste..
Makinenin icine ediyor. Bende etraftaki baska birinden ssh ile kopyaliyorum
geri hepsini, ne yapayim.. Tripwire vs. bu konuda son derece iyi olacaktir
eminim..
Su an 2.2.8a SAMBA uzerinde Turkce karakter problemlerini halletmeye
calisiyorum. Belki beceririm. O yuzden makinede MDK 9.0'dan kalma SAMBA var.
Saygi ve sevgiler..
Sal 01 Tem 2003 01:20 tarihinde şunları yazmıştınız:
> Sayin Serdar koylu,
>
> Bu dakika dakika suren takip operasyonunda Tripware ya da Aide gibi bir
> yazilim mi kullandiniz?
>
> Tesekkurler
>
> Bilgin