[chkrootkit] Possibile sniffer?

[maulattu]

Questo è una parte dell'output di chkrootkit:

Checking `sniffer'... lo: not promisc and no packet sniffer sockets
eth0: PACKET SNIFFER(/sbin/dhclient3[5965])

e questo è il contenuto di /sbin

utente@laptop:/sbin$ ll dhclient*
lrwxrwxrwx  1 root root      9 2006-02-13 23:22 dhclient -> dhclient3
-rwxr-xr-x  1 root root 422292 2005-09-15 02:41 dhclient3

è una cosa grave??? dhclient non dovrebbe essere il client dhcp (ora sono all'università e si ha indirizzo ip assegnato tramite dhcp)?

[ilsensine]

Tutto ok. E' il client dhcp.

[maulattu]

Originariamente inviato da ilsensine

Tutto ok. E' il client dhcp.

grassie
ilsensine =

anche xkè sul pc di casa mia e su un pc che abbiam qui in laboratorio (un bell'opteron ) ci sono 2 tentativi di accesso col mio nome utente... ma visto che ho una password abbastanza impestata e soprattutto visto che si usa ssh2 non penzo ci siano problemi al riguardo

[ilsensine]

Non sperare.
Quando succede, dovresti prendere i log (ip e ora) e fare una bella denuncia.

[maulattu]

Originariamente inviato da ilsensine

Non sperare.
Quando succede, dovresti prendere i log (ip e ora) e fare una bella denuncia.

dimmi se dico giusto: praticamente tutto questo lo reperisco con il comando "last" e guardando i file di log "auth.log" e "user.log", giusto? anche perchè sul pc di casa non ho robe del tipo snort & c. ... penzo siano sufficienti auth.log e user.log, giusto?
ora ho già segnalato la cosa al responsabile della rete e a costui gli ha cambiato l'indirizzo ip (prima il suo finiva con 112 ed il mio con 113, ora a lui gli ha assegnato un .90)


ps: caro ilsensine, sei di diritto nella mia top 10 degli idoli

[ilsensine]

Per me dovresti mettere su qualche regola di iptables per loggare gli accessi.
Se pensi che sia uno interno alla votstra rete, forse viene loggato anche il MAC address e lì è fottuto all'istante.

[maulattu]

Originariamente inviato da ilsensine

Per me dovresti mettere su qualche regola di iptables per loggare gli accessi.

, sono niubbo sotto questo punto di vista...
qui e a casa al max ho firestarter come firewall (che, se non erro, dovrebbe essere una sorta di "gui" per firestarter, giusto?)...

Originariamente inviato da ilsensine

Se pensi che sia uno interno alla votstra rete, forse viene loggato anche il MAC address e lì è fottuto all'istante.

sì, è roba interna alla nostra rete (il mio portatile + il pc di colui che presumibilmente tenta di accedere al mio pc di casa), tranne il mio pc di casa... però costui sembrerebbe cercare di accedere anche ad un pc che abbiam qui in laboratorio (dunque stessa rete del mio portatile) con il mio account...

[ilsensine]

Non uso gui per i firewall; una semplice regola che puoi inserire manualmente è questa:

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j LOG

Quindi tutti gli accessi (o tentativi tali) sulla porta 22 verranno loggati (li puoi vedere con dmesg). Nei file di log (in /var/log) ritrovi le stesse informazioni, con la data di generazione.

[maulattu]

Originariamente inviato da ilsensine

Non uso gui per i firewall; una semplice regola che puoi inserire manualmente è questa:

Quindi tutti gli accessi (o tentativi tali) sulla porta 22 verranno loggati (li puoi vedere con dmesg). Nei file di log (in /var/log) ritrovi le stesse informazioni, con la data di generazione.

Ok, ho aggiunto il tutto... ora aspetto una mossa falsa di quel tizio


tante grazie ancora