PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : warnungsmail versenden falls sich root einloggt


sais
22.02.04, 11:45
hi!

habe eine frage an alle pam spezialisten:

ist es irgendwie möglich daß man mit pam in kombination mit einem schellscript oder sowas ähnlichem ein mail an den serveradministrator verschickt, falls irgendein benutzer root status erlangt bzw. sich als root einloggt.
(falls jemand das passwort gecrackt hat zum beispiel)

danke!

mfg
sais
fsd
22.02.04, 12:00
BOFH Warunung, oder wie? :ugly:

Im Syslog wird normalerweise jedesmal eingetragen, wenn root sich einloggt.

MFG fsd.
drcux
22.02.04, 12:02
so auf die schnelle:

Erstelle eine /root/.bashrc

echo "Root hat sich eingelogt!" > mail - "ROOT - LOGIN"user@email.de
drcux
22.02.04, 12:03
oder falls su benutzt wird:

/bin/su umbenennen in zB /bin/suorig

neue /bin/su erstellen:

echo "Root hat sich eingelogt!" > mail - "ROOT - LOGIN"user@email.de
/bin/suorig
sais
22.02.04, 12:04
ich werd es mit der .bashrc lösen, und das su ebenfalls mit so einem script ersetzen.


danke!

mfg
sais
derRichard
22.02.04, 14:53
hallo!

das ist so sinnlos.
ein cracker wird kaum /root/.bashrc ausführen...
mach es so, dass immer wenn eine shell (zb: /bin/bash) mit der euid 0 gestartet wird eine mail ausgeht.
patche den kernel mit grsec und verwende die exec-log-funktion.

//richard
sais
22.02.04, 14:56
da hast du recht, die bashrc wird ein cracker kaum ausführen.

ich werd grsec verwenden. muß mich aber erst damit vertraut machen.

danke für den tipp

mfg
sais
r2k
22.02.04, 17:38
Gib doch dem Root eine andere shell z.B. /bin/myshell und in dem File myhsell ist einfach

------

#! /bin/bash
echo "Root hat sich eingelogt!" > mail - "ROOT - LOGIN"user@email.de

-----

enhalten.

Sobald sich der User als Root einloggt, sollte eigentlich ein Mail abgesetz werden
derRichard
22.02.04, 17:46
Original geschrieben von reto2000
Gib doch dem Root eine andere shell z.B. /bin/myshell und in dem File myhsell ist einfach

------

#! /bin/bash
echo "Root hat sich eingelogt!" > mail - "ROOT - LOGIN"user@email.de

-----

enhalten.

Sobald sich der User als Root einloggt, sollte eigentlich ein Mail abgesetz werden
hallo!

und was ist, wenn sich ein cracker per exploit eine eigene shell als root öffnet?
denkst, dass der in der /etc/passwd nachschaut und da dann die shell nimmt?

//richard
r2k
22.02.04, 17:47
ok stimmt, doch für den DAU-Cracker und script-kiddy würde es reichen
derRichard
22.02.04, 17:50
Original geschrieben von reto2000
ok stimmt, doch für den DAU-Cracker und script-kiddy würde es reichen
hallo!

axo, du bist ein freund von halber sicherheit. :D
http://www.fefe.de/pffaq/halbesicherheit.txt

//richard
r2k
22.02.04, 17:52
axo, du bist ein freund von halber sicherheit.

Na ja eigentlich nicht.

BTW wie wäre es mit snort?
derRichard
22.02.04, 17:54
Original geschrieben von reto2000
Na ja eigentlich nicht.

BTW wie wäre es mit snort?
hallo!

snort ist ein nids, kein hids.

//richard
Dellerium
22.02.04, 21:36
Tripwire ist nen hids .. aber das würde nur anzeigen, das und was verändert wurde ...
Basti_litho
23.02.04, 07:07
Original geschrieben von Dellerium
Tripwire ist nen hids .. aber das würde nur anzeigen, das und was verändert wurde ...
dann schon lieber AIDE :)
sysdef.
26.02.04, 07:35
Original geschrieben von Basti_litho
Tripwire? ... dann schon lieber AIDE :)
ihr glaubt, das diese programme (file integrity checking tools) euch nicht anlügen wenn der rechner bereits einem anderem gehört?

cu
Basti_litho
26.02.04, 08:29
Original geschrieben von systemdefender
ihr glaubt, das diese programme (file integrity checking tools) euch nicht anlügen wenn der rechner bereits einem anderem gehört?

cu
eigentlich: ja, sofern der Angreifer nicht eine gepachte Version von AIDE mitbringt :D

PS: die datenbank liegt natürlich auf einem read-only Medium.
sysdef.
26.02.04, 16:57
aha. wir sind da also etwas spät dran, oder? :rolleyes:

dann lieber lids und nen logserver oder so.

cu
flowinhard1
26.02.04, 18:49
das langt nichma fuer das script kiddie usw, da alle linux exploits via shellcode direkt eine shell oeffnen die in den meisten faellen /bin/bash ist oder moeglicherweise direkt ne backdoor einbaut, also von daher. um davon ma abzusehen, ein kiddie wird dein system eh nur knacken wenn du nich updatest, alle daemons verwendest usw, also wenn dein system fit ist und trotzdem jemand reinkommt, wird das alles nich viel bringen..
flowinhard1