Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

dhcpd echoue au demarrage fc4

proton94

bonjour à tous,

voila maintenant deux jours que je constate que le démon dhcp échoue à se lancer au demarrage et meme lors de
mes tentatives de restart :

/sbin/service dhcpd start
Démarrage de dhcpd : [ÉCHOUÉ]

/sbin/service dhcpd restart

tail /var/log/messages
Oct 20 18:26:41 dhcppc1 dhcpd: If you intend to request help from the dhcp-server@isc.org
Oct 20 18:26:41 dhcppc1 dhcpd: mailing list, please read the section on the README about
Oct 20 18:26:41 dhcppc1 dhcpd: submitting bug reports and requests for help.
Oct 20 18:26:41 dhcppc1 dhcpd:
Oct 20 18:26:41 dhcppc1 dhcpd: Please do not under any circumstances send requests for
Oct 20 18:26:41 dhcppc1 dhcpd: help directly to the authors of this software - please
Oct 20 18:26:41 dhcppc1 dhcpd: send them to the appropriate mailing list as described in
Oct 20 18:26:41 dhcppc1 dhcpd: the README file.
Oct 20 18:26:41 dhcppc1 dhcpd:
Oct 20 18:26:41 dhcppc1 dhcpd: exiting.

Pourtant je peux surfer quand meme.

Cela serait vraiment super d'avoir des solutions ou des pistes pour regler ce probleme. Merci

william

Peux tu nous en dire plus ?
- Tu veux faire serveur dhcp ? C'est à dire allouer des adresses à tes postes clients ?
- Fait un tail -n 20 /var/log/messages ou alors récupère un poils plus de lignes du fichiers de logs.
- As tu un fichier /etc/dhcpd.conf ?
- Que te retourne un service dhcpd status

/W

proton94

Bonsoir,

alors pour le premier point :

tail -n 20 /var/log/messages
Oct 20 20:51:23 dhcppc1 sshd(pam_unix)[8526]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:51:30 dhcppc1 sshd(pam_unix)[8529]: check pass; user unknown
Oct 20 20:51:30 dhcppc1 sshd(pam_unix)[8529]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:51:34 dhcppc1 sshd(pam_unix)[8533]: check pass; user unknown
Oct 20 20:51:34 dhcppc1 sshd(pam_unix)[8533]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:51:41 dhcppc1 sshd(pam_unix)[8536]: check pass; user unknown
Oct 20 20:51:41 dhcppc1 sshd(pam_unix)[8536]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:51:45 dhcppc1 sshd(pam_unix)[8538]: check pass; user unknown
Oct 20 20:51:45 dhcppc1 sshd(pam_unix)[8538]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:51:49 dhcppc1 sshd(pam_unix)[8542]: check pass; user unknown
Oct 20 20:51:49 dhcppc1 sshd(pam_unix)[8542]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:51:53 dhcppc1 sshd(pam_unix)[8544]: check pass; user unknown
Oct 20 20:51:53 dhcppc1 sshd(pam_unix)[8544]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:51:57 dhcppc1 sshd(pam_unix)[8546]: check pass; user unknown
Oct 20 20:51:57 dhcppc1 sshd(pam_unix)[8546]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 20:52:01 dhcppc1 sshd(pam_unix)[8548]: check pass; user unknown
Oct 20 20:52:01 dhcppc1 sshd(pam_unix)[8548]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=66.221.199.212
Oct 20 21:01:01 dhcppc1 crond(pam_unix)[8716]: session opened for user root by (uid=0)
Oct 20 21:01:01 dhcppc1 crond(pam_unix)[8716]: session closed for user root
Oct 20 21:55:11 dhcppc1 su(pam_unix)[8790]: session opened for user root by (uid=500)

/sbin/service dhcpd status
dhcpd est arrêté

/sbin/service dhcpd stop
Arrêt de dhcpd : [ÉCHOUÉ]

tail -n 20 /var/log/messages
Oct 20 21:59:49 dhcppc1 dhcpd: To get the same behaviour as in 3.0b2pl11 and previous
Oct 20 21:59:49 dhcppc1 dhcpd: versions, add a line that says "ddns-update-style ad-hoc;"
Oct 20 21:59:49 dhcppc1 dhcpd: Please read the dhcpd.conf manual page for more information. **
Oct 20 21:59:49 dhcppc1 dhcpd:
Oct 20 21:59:49 dhcppc1 dhcpd: If you did not get this software from ftp.isc.org, please
Oct 20 21:59:49 dhcppc1 dhcpd: get the latest from ftp.isc.org and install that before
Oct 20 21:59:49 dhcppc1 dhcpd: requesting help.
Oct 20 21:59:49 dhcppc1 dhcpd:
Oct 20 21:59:49 dhcppc1 dhcpd: If you did get this software from ftp.isc.org and have not
Oct 20 21:59:49 dhcppc1 dhcpd: yet read the README, please read it before requesting help.
Oct 20 21:59:49 dhcppc1 dhcpd: If you intend to request help from the dhcp-server@isc.org
Oct 20 21:59:49 dhcppc1 dhcpd: mailing list, please read the section on the README about
Oct 20 21:59:49 dhcppc1 dhcpd: submitting bug reports and requests for help.
Oct 20 21:59:49 dhcppc1 dhcpd:
Oct 20 21:59:49 dhcppc1 dhcpd: Please do not under any circumstances send requests for
Oct 20 21:59:49 dhcppc1 dhcpd: help directly to the authors of this software - please
Oct 20 21:59:49 dhcppc1 dhcpd: send them to the appropriate mailing list as described in
Oct 20 21:59:49 dhcppc1 dhcpd: the README file.
Oct 20 21:59:49 dhcppc1 dhcpd:
Oct 20 21:59:49 dhcppc1 dhcpd: exiting

Pour le .conf de dhcp j'en ai bien un mais il me renvoie à la doc :

more dhcpd.conf
#
# DHCP Server Configuration file.
# see /usr/share/doc/dhcp*/dhcpd.conf.sample
#

Mon souci est que ce probleme est survenu subitement et je ne sais pas dans quelle mesure cela peut causer du tord à mon systeme.

(d'ailleur sur le premier tail en haut, je me demande ce que viens faire l'adresse 66.221.199.212 et que signifie les tentative me semble il de se connecter en ssh, sui je en train de subir une attaque ou une tentative d'intrusion?)

Merci pour les enseignements.

Benoit7114

Bonjour,

je ne sais pas d'ou peux venir ton pb dhcp mais comme l'a dit william, le démon dhcp (dhcpd) sert à distribuer des adresses dynamiques à tes postes clients si ta machine est "serveur dhcp" (ce qui est assez rare dans le cas d'une utilisation mono-poste, mais je ne sais pas si c'est ton cas...)

Donc si tu n'as pas besoin de SERVEUR dhcp (et cela meme si ta propre adresse ip t'es atribuée dynamiquement) tu peux arreter le serveur dhcp (décoches la case dhcpd dans les services).

De la meme facon, il semble effectivement que quelqu'un cherche à se connecter à ton serveur ssh. C'est pareil; sauf si tu as besoin d'acceder au systeme de ta machine a partir d'une autre, arretes le serveur ssh (décoches sshd dans les services et cliques sur arreter)

Voila....

Sinon, pour l'erreur elle-meme; je ne sais pas...

Bon courage

proton94

Il est effectivement plus sage de stoper les démons ssh et dhcp. Cela est fort intriguant!

Alors que dhcpd se lançait tres bien jusqu'à hier voila qu'il échoue à se lancer.

En fouillant dans le /var/log/message je constate une chose encore plus "déroutante" qqun tente de se connecter sur ma machine (cf. precedent posts).

Si qqun hyper calé en reseau et sécurité pouvait m'eclairer sur cela, cela serait très riche d'enseignement.

Merci

proton94

Dans le /var/log/secure il semble bien que qqun tente de penetrer mon system en essayant tous les login possible:

Oct 20 20:48:34 dhcppc1 sshd[8393]: Invalid user adams from 66.221.199.212
Oct 20 20:48:36 dhcppc1 sshd[8393]: Failed password for invalid user adams from 66.221.199.212 port 60463 ssh2
Oct 20 20:48:38 dhcppc1 sshd[8395]: Invalid user adams from 66.221.199.212
Oct 20 20:48:40 dhcppc1 sshd[8395]: Failed password for invalid user adams from 66.221.199.212 port 60840 ssh2
Oct 20 20:48:42 dhcppc1 sshd[8398]: Invalid user adating from 66.221.199.212
Oct 20 20:48:44 dhcppc1 sshd[8398]: Failed password for invalid user adating from 66.221.199.212 port 32982 ssh2
Oct 20 20:48:46 dhcppc1 sshd[8400]: Invalid user adating from 66.221.199.212
Oct 20 20:48:48 dhcppc1 sshd[8400]: Failed password for invalid user adating from 66.221.199.212 port 33374 ssh2
Oct 20 20:48:52 dhcppc1 sshd[8405]: Failed password for adm from 66.221.199.212 port 33761 ssh2
Oct 20 20:48:56 dhcppc1 sshd[8407]: Failed password for adm from 66.221.199.212 port 34168 ssh2
Oct 20 20:48:58 dhcppc1 sshd[8411]: Invalid user admin from 66.221.199.212
Oct 20 20:49:00 dhcppc1 sshd[8411]: Failed password for invalid user admin from 66.221.199.212 port 34544 ssh2
Oct 20 20:49:02 dhcppc1 sshd[8413]: Invalid user admin from 66.221.199.212
Oct 20 20:49:04 dhcppc1 sshd[8413]: Failed password for invalid user admin from 66.221.199.212 port 34924 ssh2
Oct 20 20:49:06 dhcppc1 sshd[8417]: Invalid user administrator from 66.221.199.212
Oct 20 20:49:08 dhcppc1 sshd[8417]: Failed password for invalid user administrator from 66.221.199.212 port 35311 ssh2
Oct 20 20:49:10 dhcppc1 sshd[8420]: Invalid user administrator from 66.221.199.212
Oct 20 20:49:12 dhcppc1 sshd[8420]: Failed password for invalid user administrator from 66.221.199.212 port 35696 ssh2
Oct 20 20:49:14 dhcppc1 sshd[8423]: Invalid user adria from 66.221.199.212
Oct 20 20:49:16 dhcppc1 sshd[8423]: Failed password for invalid user adria from 66.221.199.212 port 36065 ssh2
Oct 20 20:49:18 dhcppc1 sshd[8426]: Invalid user adria from 66.221.199.212
Oct 20 20:49:20 dhcppc1 sshd[8426]: Failed password for invalid user adria from 66.221.199.212 port 36452 ssh2
Oct 20 20:49:22 dhcppc1 sshd[8431]: Invalid user adrian from 66.221.199.212
Oct 20 20:49:24 dhcppc1 sshd[8431]: Failed password for invalid user adrian from 66.221.199.212 port 36837 ssh2
Oct 20 20:49:26 dhcppc1 sshd[8435]: Invalid user adrian from 66.221.199.212
Oct 20 20:49:28 dhcppc1 sshd[8435]: Failed password for invalid user adrian from 66.221.199.212 port 37220 ssh2
Oct 20 20:49:30 dhcppc1 sshd[8439]: Invalid user adrianna from 66.221.199.212
Oct 20 20:49:33 dhcppc1 sshd[8439]: Failed password for invalid user adrianna from 66.221.199.212 port 37617 ssh2
Oct 20 20:49:34 dhcppc1 sshd[8442]: Invalid user adrianna from 66.221.199.212
Oct 20 20:49:37 dhcppc1 sshd[8442]: Failed password for invalid user adrianna from 66.221.199.212 port 38021 ssh2
Oct 20 20:49:38 dhcppc1 sshd[8444]: Invalid user afford from 66.221.199.212
Oct 20 20:49:41 dhcppc1 sshd[8444]: Failed password for invalid user afford from 66.221.199.212 port 38431 ssh2
Oct 20 20:49:42 dhcppc1 sshd[8446]: Invalid user afford from 66.221.199.212
Oct 20 20:49:45 dhcppc1 sshd[8446]: Failed password for invalid user afford from 66.221.199.212 port 38845 ssh2
Oct 20 20:49:46 dhcppc1 sshd[8448]: Invalid user airport from 66.221.199.212
Oct 20 20:49:49 dhcppc1 sshd[8448]: Failed password for invalid user airport from 66.221.199.212 port 39252 ssh2
Oct 20 20:49:50 dhcppc1 sshd[8452]: Invalid user airport from 66.221.199.212
Oct 20 20:49:53 dhcppc1 sshd[8452]: Failed password for invalid user airport from 66.221.199.212 port 39649 ssh2
Oct 20 20:49:54 dhcppc1 sshd[8455]: Invalid user alan from 66.221.199.212

*************************ainsi de suite et ceci est très troublant :

Oct 16 14:31:46 dhcppc1 groupadd[2809]: new group: name=crack, GID=102

C'est la premiere fois que je vois une "attaque" sur l'un de mes systemes linux, je suis un peu tendu...

proton94

J'ai trouvé ceci mais en anglais.

L'article decrit assez bien ce qui m'arrive depuis quelques jours maintenant.

http://www.securityfocus.com/archive/75/413877

attaque par ssh en bruteforce

A developper...

william

2 trucs :
Ton serveur dhcpd ne démarre pas car il n'a pas de fichier de configuration... mais en a tu réellement besoin ??
Les logs avec les tentatives de connexions ça arrive si tu es en connexion permanente. Si tes mots de passe sont bien fait tu n'a rien à craindre.
Ce qui est plus inquietant c'est :
> Oct 16 14:31:46 dhcppc1 groupadd[2809]: new group: name=crack, GID=102
As tu ajouté un groupe crack ?
D'autre par comment s'appele ta machine ? ( tapes hostname )
ça ne serait pas : dhcppc1
Mais dis nous si tu as besoin réellement d'un serveur dhcp ???

/W

Anvil

Oct 16 14:31:46 dhcppc1 groupadd[2809]: new group: name=crack, GID=102

Si tu ne sais pas ce qu'est le groupe crack, c'est assez mauvais signe en effet.

execute en root :
cd / ; find $(ls -I proc) -group crack

Et si ca n'est pas des trucs que tu connais, donne nous la liste de fichiers retournee par la commande find.

Pour info, des attaques "brute force" sur mon sshd, j'en ai tous les jours. Et une tetra-chiee (sans vouloir etre vulgaire). Ta meilleur protection contre ca, c'est de mettre un mot de passe robuste. Si tu mets des mots de passes genre "toto1", ou "rootroot", ne t'etonnes pas que les gens rentres chez toi comme sur un moulin. C'est un peu comme si laissais volontairement tes cles de voiture sur la portiere pendant que tu vas faire des courses et que tu esperais ne pas te la faire *hm* emprunter.

N'oubliez jamais qu'un firewall, ca n'est pas une option. C'est indispensable. Et avoir un mot de passe robuste c'est une question de bon sens.

Si vous manquez d'imagination pour vos mots de passe, il existe des generateurs comme "apg" (dispo dans Fedora Extras si je me souviens bien).

Que faire si un systeme est compromis ? Le re-installer. Pourquoi ? parce que vous ne savez pas quels fichiers sont corrompus. Ca peut etre le noyau, ca peut etre un binaire systeme... ca peut etre tout un tas de choses.

Renseignez-vous sur les 'rootkits', vous verrez c'est rigolo. 🙂

tapioca

Bonjour,

Les tentatives de connexion sur le port 22 sont fréquentes.
Chez moi, la dernière date du 18/10 avec le test de toute une série de prénoms par ordre alpha comme identifiant (daniel, tom, yasmine, ...) ou bien nobody, news, mysql, bref, quelques centaines de tentatives à 2 secondes d'intervalle.
Selon le moment, j'applique différentes solutions comme déplacer le port du serveur SSH vers un numéro du genre 34721 ou fermer l'accès au port 22 sur le firewall, ou les 2 en même temps.
L'enseignement que j'en retire est le suivant :
- ne pas avoir d'identifiant trop simple à deviner
- pareil pour les mots de passe
- se tenir à jour des versions de SSH
- bien savoir mettre en place sa sécurité
Ca ne veut pas dire que je suis tout à fait à l'abri ...

Anvil

Selon le moment, j'applique différentes solutions comme déplacer le port du serveur SSH vers un numéro du genre 34721 ou fermer l'accès au port 22 sur le firewall, ou les 2 en même temps.

Perso, je fais le BOFH : je fais un whois sur l'ip et je `drop' le reseau entier dans le firewall.

proton94

Salut Anvil,

pourrait tu s'il te plait explicité ce dont tu viens de nous faire part...

merci

proton94

Salut à tous,

pour rappel je fais l'objet une tentative d'intrusion sur mon systeme depuis qq jours. Dans l'un des fichiers /var/log/securite j'ai eu ceci :

Oct 16 14:31:46 dhcppc1 groupadd[2809]: new group: name=crack, GID=102

En fait je me souviens avoir installer le package crack et il me previens qu'il créeé un group crack. Cette decouverte ne me rassure qu'a moitié car je cherche à savoir si mon systeme est bel et bien compromis ou a-t-il resisté à l'attaque. Pour le moment j'ai simplement coupé sshd en attendant d'étudier la question.

Crack is a password guessing program that is designed to quickly locate
insecurities in Unix (or other) password files by scanning the contents of a
password file, looking for users who have misguidedly chosen a weak login
password.

This package creates a group named "crack" and the Crack program puts all
its results in the /var/lib/crack/run directory, which belongs to that group.
Only users in the crack group can use this package.

Anvil

Je pensais pourtant avoir ete clair.
Quels points en particulier ?

proton94

en fait cette phase la n'est pas clair

je fais le BOFH : je fais un whois sur l'ip et je `drop' le reseau entier dans le firewall.

merci Anvil.

Anvil

C'etait une boutade, ca n'est pas important.

ExpertFedora5

bonjour à tous,

Pour ton probleme de lancement du serveur DHCP.
Vérifie que le fichier /etc/dhcpd.conf comprte bien une ligne du style :
ddns-update-style none; # none si tu n'as pas de DDNS ....

enfin vérifie aussi que tes commentaires eventuels dans le fchier utilisent sont bien vus comme des commentaires

bonne chance
ExFe