Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Plus de web ! Hacking ???

mike_x

Bonjour depuis jeudi le probleme suivant
Je lance Firefox 1.5
La page reste blanche et le browser essaie de charger sans jamais donné de statut (404, etc)
J4ai du essayé avec une quinzaine de lien hormis google et ratatium tout est hs
Je lance un yum il fonctionne, je lance thunderbird il fonctionne, je ping un nom d'hote internet (léquipe, google, yahoo hotmail) tout est résolu et répond !
J'installe galeon et je lance konqueror meme combat !
Finalement vendredi ma femme vide le cache et l'historique, ca remarche.
Samedi Ok

Dimanche, ca marche pu !
Je teste, meme résultat, je teste mes liens et finalement en allant sur GP2006.COM
j'obtiens "you're hacked by alex a@le&@hotmail.com", j'efface le repertoire .mozilla pareille
Comme j'ai une autre FC4 d'installé je reboot et je teste le web tout fonctionne nickel

Bon j'ai tout arrété, j'avoue avoir fait une connerie, j'ai installé firestarter, que j'ai arrété car je pensais que c'etait une surcouche a iptables, en fait c'est pas le cas (il te fait peter tes regles iptables)
Mes questions : comment faire remarcher le web, comment nettoyer ma machine d'eventuelles keylogger, trojan ou autre rootkit ?

Autre chose quand je lance mon firefox et que je scrute ce que fait firestarter, une connexion s'automatise et a pour hote le serveur de présence-pc pourtant ma page d'accueil n'est pas celle la d'autre part si je stoppe le chargement (indéfini) cette connexion subsiste !!!
Comment se fait il que galeon et konqueror ne marche pas non plus et ont les meme symptomes.
Il semble que ce soit le moteur de rendu html qui foire, je vais essayer avec lynx (texte) de browser ce soir.
Un truc : google fonctionne (pas seulement parcequ'il est en cache, une requete de recherche aboutit, mais cliquer sur le lien ne sert a rien, y compris en cache. Ca sent vraiment le hack
C'est un peu les boules meme en meme temps c'est instructif 😉
mike_x

william

Tiens une redirection curieuse ... quand tu obtiens le message "You're hacked ..." tu as quoi dans la barre d'adresse ? Que te retournes la commande (en root) #service squid status" ?
Pour essayer de voir si tu est rootkité tu as :
rkhunter : http://fedoraproject.org/extras/4/i386/repodata/repoview/rkhunter-0-1.2.8-1.fc4.html
chkrootkit : http://fedoraproject.org/extras/4/i386/repodata/repoview/chkrootkit-0-0.46a-1.fc4.html
Mais si ta machine à été "infectée" le seul nettoyage valable c'est une réinstallation complète...

Pour firestarter c'est une interface à iptables ... c'est a dire une interface qui permet de générer des règles iptables facilement.

Mais je pense plus à une mauvaise configuration qu'a une infection. Mais jette un coup d'oeil quand même aux connexions ouvertes ( man netstat ) on ne sais jamais.

deyo

Salut,

Utilise tu un proxy ?

Peut être que firefox est configuré pour taper sur un proxy, et que les autres tapes sur l'extérieur directement...

peut-etre que çà pouyrrait aider si tu enyais tes regles iptables.....

@+

mike_x

Je suis en connection directe (pas de proxy)
J'ai effectivement essayé de mettre le proxy de mon Fai, sans succes
Auparavant j'avais quelque regles iptables (aucun blocage en sortie) et activation des ports services en entrée les autres étant bloqués.
Aujourd'hui j'ai plus aucune règel iptable
En fait c'est firestarter qui m'a tout fait peter, depuis j'ai remis firestarter mais le port 80 est ouvert en sortie (d'ailleurs je vois les connexions au site web...)
Pour répondre à Philippe1, je ne pense pas que squid soit actif mais je vais verifier...

mike_x

Temet

Si le port 80 est ouvert en sortie c'est que tu as ton propre serveur web ... et si tu vois des connexions sortir de ton port 80 alors que tu n'as pas de serveur web ... bah si j'étais toi effectivement, je m'inquièterais! lol

william

Tu pourrais essayer de faire un
#service iptables stop
Ensuite essayer de te connecter via un navigateur ...
Que retourne la commande :
#netstat -ntaupe | grep ESTA

mike_x

Bon
Je confirme, squid n'est pas lancé
j'ai stoppé iptables (qui est correcte je rentre pas dans les details mais y a rien de bloquant pour le web)
la commande taupe ;*) me sort une connexion etabli sur le port 80 de l'ip de ma page d'accueil
mais ff dit waiting for host et il est en loading
par contre chkrootkit me dit ca

Searching for sniffer's logs, it may take a while... nothing found (pas concluant mais vous verrez plus tard...)
Searching for suspicious files and dirs, it may take a while...
/usr/lib/qt-3.3/etc/settings/.qt_plugins_3.3rc.lock /usr/lib/qt-3.3/etc/settings/.qtrc.lock /usr/lib/perl5/5.8.6/i386-linux-thread-multi/.packlist

Checking `sniffer'... eth0: PF_PACKET(/sbin/dhclient)
Ca signifie quoi que dhclient est l'hote de sniffer ?

Le reste n'est pas pertinent (nothing found, not infected, not found)
Je cherche comment oter sniffer et je vais renommer les "suspicous files"
Je vous tiens au jus.
Mike_x
PS : Temet, si j'ai un serveur web c'est pour fournir des informations aux autres, donc je dois laisser entrer les connexions http.
Et si je veux acceder aux serveurs des autres qui me fournissent de l'info, il faut que je puisse sortir sur le port 80 (et eux me laisser rentrer bien sur...)

william

Checking `sniffer'... eth0: PF_PACKET(/sbin/dhclient)
Ca signifie quoi que dhclient est l'hote de sniffer ?

Ton interface eth0 n'est pas en dhcp ?
Passe un coup de rkhunter aussi...

mike_x

Si si c'est DHCP, je pensais que sniffer etait une saleté, en fait c'est un type de fonctionnement... c'est ca ?
Bon j'ai fait ce j'ai dit (et inversement) et tout pareille, j'ai mis le proxy a nouvau
Et ca sort pas non plus, je vais faire rkhunter ce soir
Je me pose une question, visiblement c'est pas un bug. Visiblement c'est pas le firewall et la connexion s'établi (le netstat le prouve)
Donc c'est quelque chose qui empeche d'afficher les pages webs, la barre de progression se charge a 50 % puis c'est fini. Comment savoir ce qui se passe a un niveau plus fin ?
Visiblement une fonction est hacké puisqu'aucun des 3 browsers ne fonctionnent (rappel konqueror, firefox, et galeon).
Il faut vraiment que je fasse un test avec lynx.
Autre question ces 3 navigateurs ont ils des fonctions communes hormis l'aces au réseau ...
mike_x

Temet

A priori, Konqueror ne doit pas avoir grand chose en commun avec les deux autres (je dirais même rien).

Temet

A priori, Konqueror ne doit pas avoir grand chose en commun avec les deux autres (je dirais même rien).

mike_x

Bon du nouveau
Je lance rkhunter -c (checkall) --report-warnings

Pendant ce temps yum -y lynx
quelques secondes aprés lynx fonctionne (ca rappelle les debuts sur minitel)
je teste plusieurs sites no soucaille
ensuite je vais voir ce que m'a dit rkhunter
ca :
Watch out Root login possible. Possible risk!
-----------------------------------------------------------------

Found warnings:
[22:53:37] WARNING, found: /dev/.udevdb (directory) /usr/share/man/man1/..1.gz (gzip compressed data, from Unix, max compression) /etc/.java (directory)
[22:53:37] Warning: root login possible. Change for your safety the 'PermitRootL ogin'

-----------------------------------------------------------------

If you're unsure about the results above, please contact the author of
Rootkit Hunter. Fill in contact form: http://www.rootkit.nl/contact/
Some errors has been found while checking. Please perform a manual check on this machine my_becane

Bon c'est bien gentil tout ca mai je fais quoi a part solliciter le gentil hollandais
Allez un test de firefox ! incroyable ca (re)marche !
C'est quoi cet histoire de permitrootlogin faut interdire le root login. Ca va pas etre pratique et puis ca se fait comment.

En conclusion pour moi seul le temps me dira si c'est réparé ou non
mike_x

william

Le permitrootlogin est a désactiver dans le /etc/ssh/sshd_config ensuite tu redémarres sshd. Pourquoi ? BEn on ne se log jamais en root ... même via ssh. C'est comme ça et pas autrement, on utilise un utilisateur lambda puis on fait du su - ou on utilise sudo
Se logguer en root c'est mal mal mal

mike_x

Je ne savais pas pour SHH, par contre je peux t'assurer que je ne suis pas en root natif, je me loggue avec un utilisateur standard créé à l'install de ma FC
J'ai desactivé le PRL (la ligne etait commentée...) dans ssh.
J'ai bon 😉 ?
mike

mike_x

Bon ben voila, c'est revenu (le probleme)
Firestarter était configuré de facon tres restricitive en sortie
Je surfais c'etait super hier matin
Comme ma femme voulait acceder a un serveur https, j'ai du changer la politique sortante de FS, j'etais pressé , j'ai mis en permissif (en sortie seulement).
A 14 H ca marchait et le soir pu !
J ai refait rkhunter, et chkrootkit sans succes, et j'ai toujours cette connexion persistante sur l'ip du serveur de presence PC en port 80 , cette connexion est ouverte par mon navigateur ff
Alors qu'il n'y a qu'un onglet d'ouvert, c'est le meme process utilise que le firefox de ma page d'accueil.
Je sais pas quoi penser de ce probleme, il faudrait que je fasse un diff de 2 OS.
Est ce que ca pourrait etre une exploitation de faille sur le noyau (2.6.11)
Je mets mon systeme a jour régulierement mais les noyaux suivants 14 et 15, refuse de faire fonctionner le module forcedeth qui gere la carte réseau de mon pc, la c'est sur ! y a pas de web
mike_x

mike_x

J'AI TROUVE !!!! Youpi ! Tra la la ! Tsoin-tsoin !
Alors écoutez bien car c'est firestarter qui débloque...
que firestarter soit en mode restrictif ou permissif avec (toujours) le port 80 d'ouvert en sortie)
qu'il soit en mode arrete ou qu lui meme et iptables soient arrete avec service stop
Pas de web a part 3 sites qui peuvent chaner
je fais rpm -e firestarter
reboot
et tout marche avec mon anciens script iptables
j'ai testé sur 2 distribs fedora 4 32 et 64 bits sur la meme machine
et sur un portable avec un intel P chez pas quoi centrino
meme souci avec firestarter
JE vais faire un rapport de bug
mike_x