Comment supprimer backdoor eggdrop
Comment supprimer backdoor eggdrop - réseaux et sécurité - Linux et OS Alternatifs
Marsh Posté le 03-03-2008 à 20:03:13
honnêtement, à part la réinstall, il y a peu d'autres solutions. Surtout qu'une faille noyau récente permettait d'avoir un shell root très facilement.
---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
Marsh Posté le 03-03-2008 à 20:10:00
Reply
Marsh Posté le 03-03-2008 à 23:32:07
Woua je m'attendais pas à ca quand même.
Ca semble un faille phpbb...enfin bon, repartir sur une machine propre ca fera pas de mal.
Marsh Posté le 04-03-2008 à 14:05:16
le problème, c'est que manifestement, www-data a récupéré un shell, et vu qu'il y a un exploit récent sur certains noyau (2.6.18 > 2.6.24.2) qui permet d'obtenir un accès root très facilement, je ne ferais plus confiance à ma machine pour ma part.
---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
Marsh Posté le 04-03-2008 à 14:54:49
| Bigon a écrit : Mouais je te conseillerais une réinstalle complète de ta machine aussi |
+1000 
---------------
ma conduite intérieure .:R | memaster pilote officiel de la HFR Badoit-Auchan F1 Team | zéro tracas, zéro blabla MMa.ster
Marsh Posté le 04-03-2008 à 15:15:14
ton www-data a la possibilité de passer root ou pas ? Réponds à ça et t'auras la réponse à "est-ce que je dois réinstaller"
Sujets relatifs:
- [Shell] Supprimer des fichiers en fonction de la date
- installation eggdrop
- Supprimer completement GRUB
- Unix supprimer une route définitivement
- installation eggdrop
- Supprimer des lignes entre deux balises sous linux
- Neogia compta : supprimer une catégorie ?
- Supprimer tout les mails en queue d'exim ...
- supprimer dans tous les sous-dossiers
Marsh Posté le 03-03-2008 à 19:59:44
Bonjour,
je viens de découvrir ce backdoor sur mon serveur debian,
il a été visiblement installé via mon phpbb.
J'ai trouvé pas mal de choses :
ls -la /proc/{le pid du precess eggdrop}/
donne entre autres :
www-data www-data 0 2008-03-03 18:53 exe -> /var/www/virtual/mon site/htdocs/images/avatars/.dev12/eggdrop
le dossier /var/www/virtual/mon site/htdocs/images/avatars/.dev12/ contient des fichiers.
J'ai aussi vu que l'utilisateur www-data avait le shell /bin/sh !!?
Bref, j'aimerais savoir comment supprimer le plus proprement ceci.
Merci d'avance