Взлом 24-HOSTER Solutions

KM
На сайте с 15.01.2009
Offline
17
#91

Я вот не пойму, зачем было ложить свой ключ если потом все равно разделы были стерты?

Зачем несколько раз заходить по ключу если пароль рута известен? В чем смысл этих манипуляций?

Очень уж мутно выглядит.

AD
На сайте с 21.08.2010
Offline
0
#92
Himiko:
Пароль мог сменить хостер, если бы догадался или просто планово. А ключ - это второй вариант входа, если пароль сменят.

Ключ - это вариант на длительное время, гадить по тихому пока не заметят - порнуху в подкаталогах прятать, счетчики накручивать... А так для одной команды rm -rf /var/www после такого однозначно сервак будет досконально проверен и как минимум полностью переустановлен. Нелогично.

использование моего приватного ключа ни о чём не говорит, это мой старый ключ и используется он на серверах клиентов и есть много у кого из поддержки

Ну тогда кто то из поддержки его явно подставляет, значит есть за что.

Himiko
На сайте с 28.08.2008
Offline
560
#93
KernelMadness:
Я вот не пойму, зачем было ложить свой ключ если потом все равно разделы были стерты?
Зачем несколько раз заходить по ключу если пароль рута известен? В чем смысл этих манипуляций?
Очень уж мутно выглядит.

Я уже писал предположения. Может, чтобы иметь запасной вариант входа, если заметят его присутствие и поменяют пароль.

Я один раз видел вообще кучу вариантов. Чуть ли ни пароль, ключи, отдельный аккаунт с uid 0, всякие бэкдоры + админский аккаунт к mysql (видимо, чтобы если всё отрубят, хоть базы удалить).

И у этого чела тогда удался взлом, хотя его и заметили. Не успели сразу найти все варианты его присутствия.

Профессиональное администрирование серверов (https://systemintegra.ru). Круглосуточно. Отзывы (/ru/forum/834230) Лицензии (http://clck.ru/Qhf5) ISPManager,VDSManager,Billmanager e.t.c. по низким ценам.
Andreyka
На сайте с 19.02.2005
Offline
822
#94
Himiko:
Чушь.
1. Здесь согласен.
2. Да, это правда. Но тем не менее, доказывают.
3. Скачать могут, но зайти по нему - нет. А изменение файла authorized_keys и вход по ключу совпадали.

По вашему тексту можно сказать, что НИ ОДНО подобное преступление недоказуемо.
Можно фальсифицировать всё на компьютере/сервере.
Для этого есть службы, которые и разбираются в данных вопросах.

P.S.: Аудит проводил не хостер, а я. Я не админю этот хостинг уже давно, поэтому моего умысла здесь быть не может.

1. Здравый смысл присутствует

2. Здравый смысл отсутствует

3. А где доказательства, что по нему ходили?

Для начала надо логи хранить на отдельном сервере, а потом уже по ним что-то доказывать. Никакие логи со взломанного сервера не могут служить доказательством, так как их можно подделать.

Не стоит плодить сущности без необходимости
Himiko
На сайте с 28.08.2008
Offline
560
#95
AlDemin:
Ну тогда кто то из поддержки его явно подставляет, значит есть за что.

Очень сомневаюсь.

1. Не логично вообще для серьёздного админа так делать. Возможно просто оправдаться нечем.

2. Ага и при этом оставляет кучу следов якобы подставы, но при этом пытаясь сделать диски чистыми?)

3. Плюс находит доступ к его прокси (зачем?), о существовании которой бы вообще вряд ли кто-то догадался. Тем более, пытается убить информацию с дисков, где как раз нужные следы "подставы".

D
На сайте с 19.05.2006
Offline
38
#96
Himiko:
Кстати, вот ещё вариант.
Возможно злоумышленник и не чистил следы, т.к. был уверен, что на дисках ничего не останется и не восстановится.

Похоже на то.

сочетание команд

hdparm --make-bad-sector

и

fdisk /dev/sda

Делает винты "похожими" на внезапно отказавшие. Многие в такой ситуации даже не пытаются искать иной причины потери данных кроме как "железных".

Himiko
На сайте с 28.08.2008
Offline
560
#97
Andreyka:
1. Здравый смысл присутствует
2. Здравый смысл отсутствует
3. А где доказательства, что по нему ходили?

Для начала надо логи хранить на отдельном сервере, а потом уже по ним что-то доказывать. Никакие логи со взломанного сервера не могут служить доказательством, так как их можно подделать.

3. Дата изменения файла с ключами есть конкретная, больше его не трогали. Ключ там один и после изменения файла по ключу входили.

И много кто хранит логи на отдельном сервере?

Да ерунда всё это.

KM
На сайте с 15.01.2009
Offline
17
#98
Himiko:
Я уже писал предположения. Может, чтобы иметь запасной вариант входа, если заметят его присутствие и поменяют пароль.
Я один раз видел вообще кучу вариантов. Чуть ли ни пароль, ключи, отдельный аккаунт с uid 0, всякие бэкдоры + админский аккаунт к mysql (видимо, чтобы если всё отрубят, хоть базы удалить).
И у этого чела тогда удался взлом, хотя его и заметили. Не успели сразу найти все варианты его присутствия.

Не, это логично если просто данные потерты, а машина жива. Но тут ведь и сервак в даун отправили.

Если бы сотрудник ДЦ не догадался восстановить таблицу разделов, то винты бы просто форматнули.

Himiko
На сайте с 28.08.2008
Offline
560
#99
KernelMadness:
Не, это логично если просто данные потерты, а машина жива. Но тут ведь и сервак в даун отправили.
Если бы сотрудник ДЦ не догадался восстановить таблицу разделов, то винты бы просто форматнули.

Тут и подстава не логична, т.к. нет смысла затирать следы (убивая диски), которые фактически нужны для подставы.

KM
На сайте с 15.01.2009
Offline
17
#100
Himiko:
Тут и подстава не логична, т.к. нет смысла затирать следы (убивая диски), которые фактически нужны для подставы.

Согласен... произошедшее сродни тому как если бы у вас сперли ключи от квартиры, а затем в окно грену кинули. Маразм.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий