Gehackt of niet?

[Whizzer]

Ik zit een beetje door de log's van een simpel en verborgen linux-doosje op het werk door te spitten en op de een of andere manier heb ik het gevoel dat er iets niet helemaal lekker zit.....

Heb de doos vorige week donderdag neergezet om wat logging te kunnen doen... Met iptables wordt alleen inkomend verkeer vanaf port 80 toegestaan en ssh vanaf 1 bepaald ip...

Nu loopt vanaf afgelopen zaterdag iemand met een ip (wat ik wel heb) de hele tijd Nimda attakcs uit te voeren... Alleen dacht ik altijd dat een nimda geinfecteerde bak maar 1 maal een ip lastig viel. Had ie die gehad, dan ging ie een ander pakken... Ga ik zoeken naar die bak, dan krijg ik geen hostname terug en op port 80 draait geen webserver... Heb al wel wat open poortjes bij hem gevonden (https, smtp, 139 netbios, 445 en 2301 (compaqdiag )...

Spontaan is ook Apache (1.3.20) vanochtend opnieuw opgestart...

Ook dit vind ik een beetje verdacht:

code:

Chain INPUT (policy DROP)
target     prot opt source         destination     
ACCEPT     all  --  anywhere         anywhere        
DROP     tcp  --  anywhere       anywhere        tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,PSH,ACK,URG 
DROP     tcp  --  anywhere       anywhere        tcp flags:FIN,SYN,RST,PSH,ACK,URG/NONE 
<knip>

Chain OUTPUT (policy DROP)
target     prot opt source         destination     
ACCEPT     all  --  anywhere         anywhere        
<knip>

Maar met het opnieuw laden van het firewall script (wat ik al diverse malen heb bekeken of er wat extra regels in geslopen zijn) heeft geen resultaat...

Vanaf een machine op het internet toe naar deze linux-doos rommelen op allerlei porten heeft geen effect, dus toch lijkt het alsof ze dicht staan...

Vreemde processen lijken er ook niet te lopen... Ik weet het niet echt... Of beter gezegd: helemaal niet..

Wie o wie??

[eek]

Op maandag 01 oktober 2001 11:13 schreef Whizzer het volgende:
Vreemde processen lijken er ook niet te lopen... Ik weet het niet echt... Of beter gezegd: helemaal niet..

Zoek je cd en zet de distro versie van ps terug.
Dan weet je zeker dat je de goede hebt. Het zou
mogelijk kunnen zijn dat je last van een root-
kit hebt. Er zijn ook wel slimmere root-kits
die op kernel niveau werken. Maar ps en/of netstat
terug zetten wil vast ook wel helpen.