像是被hack掉了...

[小黑]

其實我比較不解的是 , 那幾個檔案是如何變成 root own 的
這個就要請教 kenneth 兄了
是不是設了一些服務讓別人改了 file 的 ownership 和 permission

那幾個 file kenneth 兄應該沒見過 , 是別人上傳上去的

未知 kenneth 兄可否列出系統和系統上服務的版本資料, 讓大家思考一下

至於什麼是 buffer overflow , 小弟不敢在這裡班門弄斧
在 google 上找一下吧 , 而且明白 buffer overflow 也不會知道那幾個 file 是怎樣進來

[kennethlck]

有一個普通的user acc幔他拿到了password
之後就變成了現在的樣子
他將那個叫root的file放了上來,再用command shell run...
就變成了root 的權限///

[小黑]

請問有沒有什麼頭緒知道他怎樣把檔案換成 root own 的?

另外 , 可以把你的機器狀況( 如 stable/testing ) 和安裝了的服務(最好連 version )列出來嗎?

[kennethlck]

我剛重裝了=__="
那個檔案不用是root own的...
他用test acc login,之後放那個檔案上去,
打:
./root
那他的身份就會即時由test->root
就好像su 的功用一樣但卻不用輸入passwd...
我是全stable/testing的
proftpd,apache,php4,mysql-server,ssh,perl,webmin
我想是這些了

[訪客]

請問你的核心版本是多少？ ptrace/kmod local root exploit 是很舊的 exploit，也要配上有點年紀的 kernel (2.2.x or < 2.4.20)才能成功取得 root permission. smaq.sh 是 1999 年時候流傳在網路上的自動掃描命令稿，兩個攻擊程式與留下 root shell 都是很復古的手法。這是發生在最近的事情嗎？

請問你裝的 distribution 是那一版呢？

[kennethlck]

就是2.2.x=_______________="
因為用debian的cd裝時...如果選擇用2.4kernel裝的話...
network 卡會用不到=___="

[訪客]

我剛重裝了=__="
那個檔案不用是root own的...
他用test acc login,之後放那個檔案上去,
打:
./root
那他的身份就會即時由test->root
就好像su 的功用一樣但卻不用輸入passwd...
我是全stable/testing的
proftpd,apache,php4,mysql-server,ssh,perl,webmin
我想是這些了

我猜 test 密碼很好猜(大概就是 test?)，登入後用 ptrace exploit 取得 root, 然後 cp /bin/sh ./root; chmod 4755 root 之類(md5sum root /bin/*sh* 來驗證)。接下來就借用你的機器來掃其他受害者。

[小黑]

我剛重裝了=__="
那個檔案不用是root own的...
他用test acc login,之後放那個檔案上去,
打:
./root
那他的身份就會即時由test->root
就好像su 的功用一樣但卻不用輸入passwd...
我是全stable/testing的
proftpd,apache,php4,mysql-server,ssh,perl,webmin
我想是這些了

我頗肯定的說 , 那個檔案是 root own 的
在你之前 post 的 ls -l 指令下可以看到