🎰 🧗🏽 🎉 हैकिंग के लिए लिनक्स सर्वर को जल्दी से कैसे जांचें ㊗️ 💇🏼 🚚

लगभग दो साल पहले, मैंने एक जर्मन होस्टर से किराए पर लिया था जो सेंटोस 5.2 पर आधारित एक बहुत शक्तिशाली सर्वर नहीं था। इसकी कई वेब परियोजनाएं हैं जो कुछ लाभ लाती हैं, और इसलिए, जब भी संभव हो मैं इस पर नजर रखने की कोशिश करता हूं।

सेंटोस के पास एक मानक लॉगवॉच लॉग विश्लेषक है जो प्रतिदिन मुकुट पर चलता है, / var / log की सामग्री का विश्लेषण करता है, एक सारांश रिपोर्ट बनाता है और इसे ईमेल के माध्यम से भेजता है। एक बढ़िया दिन, मुझे इस रिपोर्ट में एक रिकॉर्ड मिला:

 --------------------- यम आरंभ ------------------------ 
 
  स्थापित पैकेज:
     lzo2 - 2.02-3.el5.rf.i386
     dnstracer - 1.8-1.2.el5.rf.i386
     Openvpn - 2.0.9-1.el5.rf.i386

 ---------------------- यम अंत -------------------------

उस पल में, वह मेरे लिए बहुत शर्मिंदा थी, क्योंकि पिछले दिन मैंने सर्वर में लॉग इन नहीं किया था, और इससे भी ज्यादा कुछ भी स्थापित नहीं किया था। पहली बात जो ध्यान में आई - सर्वर से समझौता किया गया था। मैंने खुद को एक विश्वसनीय लिनक्स उपयोगकर्ता माना, लेकिन मैं भ्रमित था। सौभाग्य से, उस समय icq मेरा पूर्व-सहकर्मी था, सबसे अच्छा सिस्टम प्रशासक, जिसे मैं जानता हूं, और सिर्फ एक बहुत अच्छा व्यक्ति।

उन्होंने प्रणाली को जल्दी से जांचने में मदद की। नतीजतन, मैंने हैकिंग के लिए अपने सर्वर की शीघ्रता से जांच करने के लिए एक छोटा हॉव्टो बनाया। मुझे यकीन है कि यह कई बहादुर पाठकों के लिए उपयोगी होगा। यह माना जाता है कि उपयोगकर्ता लिनक्स / यूनिक्स कंसोल से परिचित है।

इसलिए, सबसे पहले, रूट पासवर्ड बदलें:

  [root @ myhost etc] # पासवार्ड
 उपयोगकर्ता रूट के लिए पासवर्ड बदलना।
 नया यूनिक्स पासवर्ड:
 ...

अगला, हम संदिग्ध खुले बंदरगाहों के लिए मेजबान को स्कैन करते हैं। आप यह कर सकते हैं, उदाहरण के लिए, एक अन्य यूनिक्स मशीन से नैम्प उपयोगिता का उपयोग करके:

  [रूट @ myhost ~] # nmap-० १२३.१२३.२३.१२३ 

  2011-01-23 11:47 MSK पर Nmap 4.11 (http://www.insecure.org/nmap/) शुरू 
  Myhost.myprovider.net पर दिलचस्प पोर्ट (123.123.123.123): 
  नहीं दिखाया गया: 1679 फ़िल्टर किए गए पोर्ट 

  पोर्ट स्टेट सर्विस 
  21 / tcp ओपन एफ़टीपी 
  22 / टीसीपी खुली एसएचएस 
  25 / टीसीपी खुली smtp 
  53 / tcp ओपन डोमेन 
  80 / टीसीपी खुला http 
  106 / टीसीपी खुला पॉप 3 पीडब्ल्यू 
  110 / टीसीपी खुला पॉप 3 
  111 / टीसीपी खुला आरपीसीबीइंड 
  135 / टीसीपी फ़िल्टर किए गए msrpc 
  136 / टीसी फ़िल्टर प्रोफ़ाइल 
  137 / tcp फ़िल्टर किए गए netbios-ns 
  138 / टीसीपी ने नेटबायोस-डीजीएम को फ़िल्टर किया 
  139 / टीसीपी ने नेटबायोस-एसएसएन फ़िल्टर किया 
  143 / टीसीपी खुली इमाप 
  443 / tcp ओपन https 
  445 / tcp फ़िल्टर किए गए microsoft-ds 
  465 / टीसीपी खुली smtps 
  620 / टीसीपी खुली अज्ञात 
  993 / tcp ओपन इम्प्ले 
  995 / टीसीपी ओपन पॉप 3 एस 
  3306 / tcp ओपन मायस्कल 
  8443 / tcp ओपन https-alt

111 और 620 पोर्ट इस सूची में संदिग्ध रूप से दिखे, इसलिए हम आगे देखते हैं कि कौन उनकी सुनता है:

  [root @ myhost ~] # netstat -anp |  grep लिस्टेन |  grep 620 
  tcp 0 0 0.0.0.0:620 0.0.0.0:* LISTEN 1710 / rpc.statd

  [root @ myhost ~] # netstat -anp |  grep लिस्टेन |  grep 111 
  tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN 1685 / पोर्टमैप

सब कुछ क्रम में हो गया, क्योंकि ये एनएफएस घटक थे। अगला, हम UDP कनेक्शन की जाँच करते हैं:

  [रूट @ myhost ~] # netstat -anp |  grep udp 

  udp 0 0 0.0.0.0:32773 0.0.0.0:* 2345 / नाम 
  udp 0 0 127.0.0.1:32780 127.0.0.1:32780 ESTABLISHED 2539 / पोस्टमास्टर 
  udp 0 0 0.0.0.0:32783 0.0.0.0:* 2790 / अवही-डेमन: 
  udp 0 0 123.123.123.123:53 0.0.0.0:* 2345 / नाम 
  udp 0 0 123.123.123.123:53 0.0.0.0:* 2345 / नाम 
  udp 0 0 127.0.0.1:53 0.0.0.0:* 2345 / नाम 
  udp 0 0 0.0.0.0:614 0.0.0.0:* 1710 / rpc.statd 
  udp 0 0 0.0.0.0/10353 0.0.0.0:* 2790 / अवही-डेमन: 
  udp 0 0 0.0.0.0:617 0.0.0.0:* 1710 / rpc.statd 
  udp 0 0 0.0.0.0:111 0.0.0.0:* 1685 / पोर्टमैप 
  udp 0 0 0.0.0.0:631 0.0.0.0:* 2069 / कप 
  udp 0 0 ::: 32774 ::: * 2345 / नाम 
  udp 0 0 ::: 32784 ::: * 2790 / अवही-डेमॉन: 
  udp 0 0 ::: 5353 ::: * 2790 / अवही-डेमन:

यहाँ भी, सब कुछ क्रम में निकला। सबसे अधिक संभावना है, वे कंसोल के माध्यम से सर्वर से नहीं मिल सकते थे, जब सेंटोस सर्वर में लॉग इन करते समय, उन्होंने लिखा था कि अंतिम लॉगिन मेरे आईपी से था। इसलिए, अगले आइटम के लिए आपको /root/.ssh फ़ोल्डर की जांच करने की आवश्यकता है, वे किसी तरह ssh क्लाइंट के लिए कुंजी रख सकते हैं।

  [root @ myhost ~] # dir /root/.ssh 
  authorized_keys_

केवल कुंजी फ़ाइल यहाँ निकली, जिसे मैंने प्रदाता द्वारा होस्ट को हस्तांतरित करने के तुरंत बाद नाम बदल दिया। अगला, / etc / passwd फ़ाइल की जाँच करें। इसमें यूआईडी = 0 के साथ उपयोगकर्ता नहीं होने चाहिए, रूट को छोड़कर:

  [root @ myhost ~] # बिल्ली / आदि / पासवार्ड |  अधिक 
  रूट: x: 0: 0: रूट: / रूट: / बिन / बैश 
  बिन: x: 1: 1: बिन: / बिन: / sbin / nologin 
  डेमॉन: x: 2: 2: डेमॉन: / sbin: / sbin / nologin 
  प्रवेश: x: ३: ४: प्रवेश: / var / प्रशंसा: / sbin / nologin 
  lp: x: 4: 7: lp: / var / spool / lpd: / sbin / nologin 
  सिंक: x: 5: 0: सिंक: / sbin: / bin / सिंक 
  ...

और यहाँ भी, सब कुछ ठीक था। अंतिम राग स्थापित rootkits के लिए मेजबान की जाँच कर रहा था। आप इसके लिए मुफ्त rkhunter उपयोगिता का उपयोग कर सकते हैं। नवीनतम संस्करण के साथ संग्रह डाउनलोड करें, इसे अनपैक करें और इंस्टॉलर को चलाएं। अगला, हम इसे अपडेट करते हैं और चेक चलाते हैं:

  [root @ myhost ~] # ./installer.sh - स्थापना --layout / usr / स्थानीय 
  [रूट @ myhost ~] # / usr / स्थानीय / बिन / rkhunter- -update 
  [रूट @ myhost ~] # / usr / स्थानीय / बिन / rkhunter-- जाँच

Rkhunter पहले महत्वपूर्ण सिस्टम फ़ाइलों की जांच करेगा, फिर रूटकिट्स की तलाश करेगा। विभिन्न कमजोरियों की जांच के बाद। अंत में, कार्यक्रम लोकप्रिय उत्पादों जैसे अपाचे, ओपनएसएसएच आदि के संस्करणों की जांच करता है। नवीनतम संस्करणों के लिए।

Rkhunter कंसोल को अपने काम के परिणाम प्रदर्शित करता है, और एक समेकित लॉग /var/log/rkhunter.log भी बनाता है। आप इस एंटी-रूटकिट को हर दिन मुकुट के लिए चला सकते हैं और ईमेल द्वारा स्कैन रिपोर्ट प्राप्त कर सकते हैं।

सौभाग्य से, rkhunter ने मेरे सर्वर पर किसी भी मैलवेयर का पता नहीं लगाया, इसने मुझे शांत होने और यह सोचने की अनुमति दी कि सर्वर पर क्या अजीब इंस्टॉल हुए। और फिर मुझे याद आया कि सर्वर प्राप्त करने के तुरंत बाद, मैंने इस सर्वर पर एक वीपीएन सर्वर स्थापित और कॉन्फ़िगर किया था। जाहिर है, लॉगवॉच में किसी प्रकार की त्रुटि थी और उसने दो साल पहले रिपोर्ट में डेटा जोड़ा था।

बेशक, अगर हमलावर सब कुछ सही ढंग से करते हैं, तो लॉगवॉच किसी भी निशान का पता नहीं लगाएगा और सर्वर मालिक को लंबे समय तक कुछ भी संदेह नहीं होगा। हालाँकि, इस हॉव्टो में वर्णित चरणों, यदि नियमित रूप से किया जाता है, तो आपके सर्वर को समझौता होने से बचाने में मदद करेगा।

हैकिंग के लिए लिनक्स सर्वर को जल्दी से कैसे जांचें

More articles: