SSHD is uit gevlogen

[Verwijderd]

Zojuist is mijn sshd uitgevlogen op een machine die in amsterdam staat.
Aangezien ik geen zin heb om 3 uur te treinen vroeg ik me af of het mogelijk is
hem te restarten via FTP.
Ik zat te denken aan cron.hourly
Maar ik had ff in de search gekeken en veel mensen zeggen dat gewoon een crontabfile in cron.hourly zetten niet genoeg is ..
ik kan natuurlijk niet crontab <file> doen omdat ik alleen FTP access heb (wel root uiteraard)

Iemand een idee?

[a casema user]

is telnet niet mogelijk ?

je kan sshd wel toevoegen in cron.hourly maar crond moet dan opnieuw opgestart worden voordat het effect heeft dus je hebt wel ssh/telnet nodig.

[Verwijderd]

Als je in die directory kunt komen zou je een scriptje kunnen oploaden dat je sshd weer tot leven wekt mits natuurlijk de crond draait en is geconfigged om scripts uit die dir te executen. Maar van dat laatste kun je haast wel uitgaan tenzij je dat zelf uitgezet hebt. Dus dat zou heel goed kunnen werken voor je.

[Verwijderd]

De cron.hourly is hier een directory die scripts bevat die elk uur worden uitgevoerd. In crontab zelf zit een calll naar run-parts die scripts in die dir uitvoert:

code:

# Run hourly cron jobs at 47 minutes after the hour:
47 * * * * /usr/bin/run-parts /etc/cron.hourly 1> /dev/null
#

Dus als dat bij de topicstarter ook zo is hoeft crond niet opnieuw gestart worden. Als crond niet werkt met die run-parts gaat het verhaal van a casema user op.

[Verwijderd]

Ik heb zojuist een debiel shellscriptje in de /etc/cron.hourly geflikkerd:

code:

#!/bin/sh
/sbin/sshd

ook ff chmod +x gedaan via ftp.
Hopen dat ie weer up komt ..

edit: ik geloof dat die run parts er wel in staan:

code:

SHELL=/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
HOME=/

# run-parts
01 * * * * root run-parts /etc/cron.hourly
02 4 * * * root run-parts /etc/cron.daily
22 4 * * 0 root run-parts /etc/cron.weekly
42 4 1 * * root run-parts /etc/cron.monthly

[ Voor 49% gewijzigd door Verwijderd op 11-01-2003 13:58 ]

[Wilke]

LOL...ja, dat zijn de shitty dingen met server-beheer.

Laat dat een les zijn: schrijf een scriptje dat sowieso elk uur (ofzo) even checkt of er nog wel sshd-processen draaien, en zo niet een nieuwe probeert te starten.

[Verwijderd]

Werkt cron.hourly om het hele uur, of een uur nadat je er iets heb bijgezet .. ? (ik denk het eerste )

[Verwijderd]

remote root via FTP is wel errug slecht !

[Verwijderd]

Je kan je bak toch ook restarten als het niet lukt. Of je kan het ook aan iemand van je provider vragen of die ff wil rebooten voor je. Is toch geen 3 uur trein voor nodig

[Verwijderd]

Rebooten kost 40 euro (moet door lui van datacenter gebeuren die daarvoor kosten in rekening brengen bij de provider, die gooit er natuurlijk nog wat bovenop)
En we hebben geen xs tot een remote power switch oid.

[Verwijderd]

code:

Jan 11 15:01:00 server CROND[10936]: (root) CMD (run-parts /etc/cron.hourly)

Maar sshd is niet gestart
Iemand nog een idee?

[m-m]

cgi scriptje uppen naar webserver dat suid root is en sshd start? Vervolgens snel inloggen voor apache de server weer doodmaakt en SSHD permanent starten?

[Verwijderd]

Hoe maak ik een CGI scripje suid root?
gewoon chmod +s bla.cgi?

[m-m]

als root neerpleuren en dan dat doen lijkt me wel te werken ja
Maar ik denk wel dat je webserver na 2 minuten oid execution time het scriptje (en alle kindertjes dus ook de SSHD server) weer dood maakt: je moet dus direct inloggen en zorgen dat de sshd server daarna weer fatsoenlijk gaat draaien.
Wat natuurlijk ook kan is een shutdown -r in eenzelfde CGI script

[ Voor 77% gewijzigd door m-m op 11-01-2003 15:14 ]

[Verwijderd]

voor dit doel laat ik crontab een leeg scriptje uitvoeren, uiteraard naast dat gechecked wordt of SSHD nog draait.

Mocht je dan ooit in dit soort situaties komen, volstaat het om het 'lege' scriptje te vullen met de opdrachten die je EUR 40,- besparen.

[Verwijderd]

m-m schreef op 11 januari 2003 @ 15:12:
als root neerpleuren en dan dat doen lijkt me wel te werken ja
Maar ik denk wel dat je webserver na 2 minuten oid execution time het scriptje (en alle kindertjes dus ook de SSHD server) weer dood maakt: je moet dus direct inloggen en zorgen dat de sshd server daarna weer fatsoenlijk gaat draaien.

Ik ben een complete CGI noob, heb je misschien een example scriptje?

[m-m]

code:

#!/usr/bin/perl
system("/usr/sbin/sshd");

of

code:

#!/usr/bin/perl
system("shutdown -r -t: now Trying to get SSHD back");

edit: kweet trouwens niet 100% of het werken gaat..... iemand die dat kan zeggen?

[ Voor 28% gewijzigd door m-m op 11-01-2003 15:17 ]

[Verwijderd]

fuck, de perl code word niet geparsed.. ik krijg gewoon de source te zien (heb .pl en .cgi geprobeerd ..)

[m-m]

Verwijderd schreef op 11 January 2003 @ 15:18:
fuck, de perl code word niet geparsed.. ik krijg gewoon de source te zien (heb .pl en .cgi geprobeerd ..)

wel 755 gechmod ook?

[Verwijderd]

yep, maakt nix uit

[TD-er]

En is sshd weer gerestart, of zit je nu te treinen?

sorry, moet ff op refresh klikken voor ik wat type

[ Voor 122% gewijzigd door TD-er op 11-01-2003 15:22 ]

[Verwijderd]

Als ie om 16:01 niet gestart is word et treinen ja

[m-m]

Misschien een soortgelijk truukje met PHP uithalen als dat wel geinstalleerd is?

[Verwijderd]

php hebbik idd wel maar die kan niet suid

[m-m]

site exec wordt zeker ook niet ondersteund he op die ftpd?

[Verwijderd]

IK HEB EM!!

ik had nog een C binary staan die suid was en dingen kon uitvoeren (voor me eigen geschreven control panel)
via dta hebbik sshd gestart

[ Voor 84% gewijzigd door Verwijderd op 11-01-2003 15:28 ]

[m-m]

hehe gefelici
Maar hoe kon SSHD überhaubt uitvallen? Eigen stomiteit of misschien geroot oid?

[Verwijderd]

nee ik had sshd_config aangepast maar doe dat k*t pico ging ie verder op een nieuwe line hierdoor was de config corrupt en na killall -HUP sshd kwam ie niet meer up :\

[m-m]

Wijze les: pico -w configfile.conf

[Verwijderd]

pico symlinken naar vim leek me een beter plan

[igmar]

Verwijderd schreef op 11 januari 2003 @ 13:57:
Ik heb zojuist een debiel shellscriptje in de /etc/cron.hourly geflikkerd:

code:

#!/bin/sh
/sbin/sshd

code:

#!/bin/sh
rm -f /var/run/sshd.pid
/usr/sbin/sshd &

Vergeet vooral die & niet, anders wordt je sshd vrij snel weer om zeep geholpen.

[Verwijderd]

Ik heb het uiteindelijk met /etc/init.d/sshd start gedaan, is way netter

[ZyMoTiC]

TELAAT

----
kan je niet je crontab overwriten? dus dat je daar deze regel bij zet

01 * * * * root /sbin/sshd

beetje klote dat je je tijd niet ff kan verzetten maar het is bijna 1600

[ Voor 6% gewijzigd door ZyMoTiC op 11-01-2003 15:57 ]

[deadinspace]

Verwijderd schreef op 11 januari 2003 @ 15:52:
Ik heb het uiteindelijk met /etc/init.d/sshd start gedaan, is way netter

Het is een beetje mosterd na de maaltijd, maar dat is ook veel verstandiger.
Als je met het ssh initscript restart (tenminste, op de systemen waarop ik het getest heb), dan blijft namelijk de sshd processes die al een connectie hebben gewoon draaien; alleen het main process wordt dan geherstart. Dat heeft als gevolg dat je ingelogd blijft en dus de config weer aan kunt passen als het fout is gegaan.

[Verwijderd]

Kun je niet gewoon je conf file checken door een tweede sshd server te starten op een andere poort? Heeft iemand hier ervaring mee?

[Guru Evi]

als ie goed beveiligd is kun je er niets aan doen. Heb je ProFTPd of WS-FTPd? Dan kun je misschien als het een oudere versie is hem doen crashen waarna je root access hebt als je je server als root draait (zie op i-net voor exploits ik mag da hier nie zeggen). Gelijke welke service die als root draait is onveilig en kan dus geexploit worden. Of anders kun je ook een shell invoker uploaden en als je met ftp de permissies kunt instellen kan je gewoon ernaar telnetten (zet een command in je rc.d (waar je normaal ook niet aankan via FTP) of ergens anders waardoor het uitgevoerd wordt (met een SUID) en dan wordt er een shell geopend op de lokale computer en de I/O wordt geforward op een TCP-poort. Zie naar white papers van roothack.org voor meer info daarover. Maar als je box iewat goed beveiligd is en je hebt geen eigen backdoor gemaakt zul je moeten treinen ofwel 40 euro betalen

[deadinspace]

Guru Evi schreef op 12 januari 2003 @ 23:42:
Gelijke welke service die als root draait is onveilig en kan dus geexploit worden.

Dat is niet helemaal waar natuurlijk
Een service die als root draait is niet exploitbaarder dan eentje die als user draait. Wel is het zo dat de gevolgen veel erger (kunnen) zijn als een service die als root draait is geexploit.
Daarom is het ook sterk af te raden, maar zolang de service niet is geexploit is hij niet onveiliger...

Maar als je box iewat goed beveiligd is en je hebt geen eigen backdoor gemaakt zul je moeten treinen ofwel 40 euro betalen

Hou je in de gaten dat de topicstarter het al heeft opgelost?