Originally Posted by Jarsil
Se vuoi posso aiutarti a capirlo in qualche modo, per quanto non sia un assoluto esperto di sicurezza informatica, dato che non è del tutto il mio campo.
Comunque la possibilità di fare danni con la funzione di upload via php c'è sempre stata, l'importante è che (e questo puoi verificarlo):
- l'utente che fa girare apache non abbia alcun privilegio al di fuori della htdocs del server
- l'utente che fa girare l'ftp segua lo stesso criterio
- non ci sia alcun bit setuid root settato nelle applicazioni che girano attraverso il server web.
Queste sono le 3 principali regole da tenere presenti per evitare di poter sfruttare delle funzionalità.
Dopodiché se hanno potuto effettuare l'accesso a mysql dalla riga di comando, vuol dire che ne hanno avuto la possibilità per uno o entrambi di questi motivi:
1) l'eseguibile di mysql è accessibile a un utente non-root (GROSSA FALLA QUESTA, controlla!!!)
2) in virtù del problema precedente relativo al server web, o grazie a un rootkit fatto passare attraverso l'upload, sono riusciti a gestire un utente root con accesso a mysql.
controlla, attraverso l'output del comando lastlog (usi linux, VERO? :D ), gli ip di TUTTI gli utenti che hanno effettuato connessioni, tenendo a mente questo:
- Se il comando lastlog lanciato come root ti dà errore, se fottuto con un rootkit che cancella il comando o lo rende ineseguibile - ne so qualcosa, pd e pm... m'è successo.
- Se il lastlog non ti restituisce ip diversi da quelli abituali di connessione, non sei ancora al sicuro, vuol dire solo che non sono entrati attraverso ssh o telnet sulla macchina, ma possono aver fatto l'accesso mediante cgi se han bucato per bene apache.
Ah (edit per aggiungere)...
Se per colmo di sfiga - ci son passato - qualcuno ti fotte la pwd di root e te la cambia con un rootkit, ci sono modi per riprendersela e kickarli fuori. In caso ti dovesse succedere, fammi un colpo di PM sul forum o su msn, tanto ce l'hai mi pare :)
