erfahrungen mit server-einbruch? hilfe gesucht

[Jan-Benedict Glaw]

On Fri, 2004-11-26 13:12:16 +0100, Bernhard Sadlowski <sadlowsk at mathematik.uni-bielefeld.de>
wrote in message <20041126121216.GB6681 at mathematik.uni-bielefeld.de>:
> On 26 Nov 2004 13:08, Johannes Vieweg <jvg at gmx.net> wrote:
> > Am Freitag 26 November 2004 12:50 schrieb Bernhard Sadlowski:
> > > 1. Rechner vom Netzwerk abziehen
> > > 2. Systemstand sichern
> > >    a) Laufende Prozesse o.ä. noch sichern mit z.B. ps axl
> > > >/root/ps.txt
> > 
> > Ausserdem würde ich noch mit lsof und netstat arbeiten und
> > einige weitere Systemzustände sichern.
> 
> ja. deswegen z.b. :)
> 
> Ein Problem könnte auch sein daß das "ps" schon ausgetauscht wurde und
> nicht alles anzeigt. Vielleicht greift man dann auf ein statisch
> gelinktes zurück das man von extern kopiert. Genauso auch mit anderen
> tools.

Das muß nicht greifen. All die Tools greifen letztlich nur auf die Daten
zurück, die sie in /proc/ finden; wer *richtig* hackt, installiert
gleich 'nen verstecktes Kernel-Modul, daß alle Spuren aus /proc/
verschwinden läßt.

Somit siehst Du offene Netzwerk-Ports nicht, ebensowenig wie die
Trojaner etc...

MfG, JBG

-- 
Jan-Benedict Glaw       jbglaw at lug-owl.de    . +49-172-7608481             _ O _
"Eine Freie Meinung in  einem Freien Kopf    | Gegen Zensur | Gegen Krieg  _ _ O
 fuer einen Freien Staat voll Freier Bürger" | im Internet! |   im Irak!   O O O
ret = do_actions((curr | FREE_SPEECH) & ~(NEW_COPYRIGHT_LAW | DRM | TCPA));
-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 189 bytes
Desc: Digital signature
URL: <http://lug-owl.de/pipermail/linux/attachments/20041126/9930df92/attachment.sig>