bon on a :

[b:d5b62545ec]9100[/b:d5b62545ec] : un shell  (user www-data)    
 enfin on avait parce qu'il n'y est plus.  
Nom du processus : anacrond

[b:d5b62545ec]3049[/b:d5b62545ec] : je c pas trop ce que c    
 process : alina      
  il a aussi disparu

[b:d5b62545ec]6667[/b:d5b62545ec] : serveur irc 
toujours ouvert
msg de bienvenue : 
--Welcome- psyBNC2.3BETA
--psyBNC- Hahahaha acum sa vedem daca stii si passwordul .. /pass .
process : -sh

[b:d5b62545ec]41889[/b:d5b62545ec] : connecté à un serveur irc :  bagan2.srce.hr.ircd
process : -sh

Il y a encore 7 autre process occupés à flooder le serveur dns de l'ulg : 
udp        0      0 139.165.3.157:39441     139.165.32.13:53

On a aussi un problème de segfault avec des applications de base genre ls ou date (g réparé ls mais date est tj mort)


le programme sh -i est décompressé dans /tmp/.bash
la config qu'il a utilisée est dans psybnc.conf.old
je mets une copie ici : 


[code:1:d5b62545ec]Hydrogene&#58;/tmp/.bash# cat psybnc.conf.old
PSYBNC.SYSTEM.PORT1=6667
PSYBNC.SYSTEM.HOST1=*
PSYBNC.HOSTALLOWS.ENTRY0=*;*
USER1.USER.LOGIN=bogdan
USER1.USER.USER=x
USER1.USER.PASS==`B'O1i0p'D0H1q0k`p
USER1.USER.RIGHTS=1
USER1.USER.VLINK=0
USER1.USER.PPORT=0
USER1.USER.PARENT=0
USER1.USER.QUITTED=0
USER1.USER.DCCENABLED=1
USER1.USER.AUTOGETDCC=0
USER1.USER.AIDLE=0
USER1.USER.LEAVEQUIT=0
USER1.USER.AUTOREJOIN=1
USER1.USER.SYSMSG=1
USER1.USER.LASTLOG=0
USER1.USER.LEAVEMSG=I`m Back Again
USER1.USER.AWAYNICK=MunTeanU
USER1.USER.NICK=MunTeanU1
USER1.SERVERS.SERVER1=ca.undernet.org
USER1.SERVERS.PORT2=6667
USER1.SERVERS.SERVER2=zagreb.hr.eu.undernet.org
USER1.SERVERS.PORT3=6667
USER1.SERVERS.SERVER3=eu.undernet.org
USER1.SERVERS.PORT1=6667
USER1.CHANNELS.ENTRY1=#MunTeanU
USER1.CHANNELS.ENTRY2=#sMOkErPHK
USER1.CHANNELS.ENTRY0=#codreanu[/code:1:d5b62545ec]




qqs commandes à me rappeler : 
tcpdump -w port6667 'port 6667 and host fede-ulg.org'  : log tout dans le fichier
tcpdump -X -r port6667 : pour lire (avec le contenu en ascii et en hexa)
renice : pour redéfinir la priorité d'un processus (19 = priorité la plus basse)
lsof
dtach -c /tmp/dtach -Ez tcpdump host fede-ulg.org and tcp port 6667 and not host zidpc248.tu-graz.ac.at -w port6667-trie



liste des intrusions : 

1/3
19:22:15.898819 IP 81.181.125.41.3371 > pc2.fede.student.ulg.ac.be.ircd

2/3
11:43:46.848002 IP 81.181.125.107.63821 > pc2.fede.student.ulg.ac.be.ircd
23:27:23.784937 IP pc-200.galsa.barlad.rdsnet.ro.1643 > pc2.fede.student.ulg.ac.be.ircd

3/3 :
21:31:19.831991 IP 82.79.58.44.2062 > pc2.fede.student.ulg.ac.be.ircd
22:09:46.423982 IP 82.79.58.38.4340 > pc2.fede.student.ulg.ac.be.ircd

4/3 :
11:43:46.848002 IP 81.181.125.107.63821 > pc2.fede.student.ulg.ac.be.ircd


Il y a 2 users qui utilisents le bnc, j'ai récup leur mdp : 
lucell:123
bogdan:035421543035423471

J'ai l'impression que la faille nous vient tout droit de phpbb.  Pour éviter de mettre tous les phpbb du serveur à jour, faudrait ptet essayer le safe-mode : 
http://www.webhostgear.com/166.html
http://qdig.sourceforge.net/Support/PHPSafeMode