Je me suis monté un petit serveur avec mon Raspberry Pi et en regardant les logs pour vérifier le corps d'une requête que je m'étais envoyé, j'ai eu une petite surprise...

113.204.67.51 - - [19/Jan/2013 12:30:23] "GET <title>phpMyAdmin HTTP/1.1" 404 762
113.204.67.51 - - [19/Jan/2013 12:30:24] "GET /phpmyadmin/ HTTP/1.1" 404 741
113.204.67.51 - - [19/Jan/2013 12:30:26] "GET /phpMyAdmin/ HTTP/1.1" 404 741
113.204.67.51 - - [19/Jan/2013 12:30:27] "GET /PMA/ HTTP/1.1" 404 727
113.204.67.51 - - [19/Jan/2013 12:30:28] "GET /pma/ HTTP/1.1" 404 727
113.204.67.51 - - [19/Jan/2013 12:30:30] "GET /admin/ HTTP/1.1" 404 731
113.204.67.51 - - [19/Jan/2013 12:30:31] "GET /dbadmin/ HTTP/1.1" 404 735
113.204.67.51 - - [19/Jan/2013 12:30:33] "GET /sql/ HTTP/1.1" 404 727
113.204.67.51 - - [19/Jan/2013 12:30:34] "GET /mysql/ HTTP/1.1" 404 731
113.204.67.51 - - [19/Jan/2013 12:30:35] "GET /myadmin/ HTTP/1.1" 404 735
113.204.67.51 - - [19/Jan/2013 12:30:37] "GET /phpmyadmin2/ HTTP/1.1" 404 743
113.204.67.51 - - [19/Jan/2013 12:30:38] "GET /phpMyAdmin2/ HTTP/1.1" 404 743
113.204.67.51 - - [19/Jan/2013 12:30:39] "GET /phpMyAdmin-2/ HTTP/1.1" 404 745
113.204.67.51 - - [19/Jan/2013 12:30:41] "GET /php-my-admin/ HTTP/1.1" 404 745
113.204.67.51 - - [19/Jan/2013 12:30:42] "GET /sqlmanager/ HTTP/1.1" 404 741
113.204.67.51 - - [19/Jan/2013 12:30:43] "GET /mysqlmanager/ HTTP/1.1" 404 745
113.204.67.51 - - [19/Jan/2013 12:30:44] "GET /p/m/a/ HTTP/1.1" 404 731
113.204.67.51 - - [19/Jan/2013 12:30:46] "GET /php-myadmin/ HTTP/1.1" 404 743
113.204.67.51 - - [19/Jan/2013 12:30:47] "GET /phpmy-admin/ HTTP/1.1" 404 743
113.204.67.51 - - [19/Jan/2013 12:30:48] "GET /webadmin/ HTTP/1.1" 404 737
113.204.67.51 - - [19/Jan/2013 12:30:50] "GET /sqlweb/ HTTP/1.1" 404 733
113.204.67.51 - - [19/Jan/2013 12:30:51] "GET /websql/ HTTP/1.1" 404 733
113.204.67.51 - - [19/Jan/2013 12:30:52] "GET /webdb/ HTTP/1.1" 404 731
113.204.67.51 - - [19/Jan/2013 12:30:54] "GET /mysqladmin/ HTTP/1.1" 404 741
113.204.67.51 - - [19/Jan/2013 12:30:55] "GET /mysql-admin/ HTTP/1.1" 404 743

Pov' tâche...

ca arrive super souvent. Et encore tu n'as pas une machine avec un DNS publique/connu.

Y'a des bots qui passent leur temps à scanner des branches d'IP. Vu les GET, on voit bien qu'il cherche des applications type.

Excusez mon ignorance, mais quel était le but de cette intrusion ?

Ouais, bah c'est pas demain que je vais exposer quoi que ce soit vers l'extérieur (hormis mon petit serveur bottle) :D

Caudheur Deux possibilités :
- Voler les infos d'une hypothétique base de données
- Exploiter une faille d'une hypothétique base de données pour installer deux-trois bricoles pour transformer mon pauvre serveur en relai de spam.

Je me suis fait locké dehors d'un de nos vieux serveurs de test sous debian lenny récemment, avec les passwords des comptes SSH changés.
Je me demande encore comment c'est arrivé, sachant que les mots de passe étaient pas évidents. Bon y'avait aucune protection particulière, pas de firewall et ça.

Mais ça me laisse quand même avec des gros points d'interrogation.

j'ai une question,dans le cas de l'auteur,es ce que celui peut faire monter une affaire en justice pour retrouver le coupable?(même si on sait que c'est forcement un pc compromis) mais sait on jamais,imaginnons que le type ait fais ça avec son propre,voir même aurait fais un brute force (c'est ce qui a d'ailleurs du t'arriver skip,un brute force avec un bon dictio) es ce que peut y'avoir des poursuite en justice sachant qu'un brute force ça doit bien bourrer les logs et c'est bien visible

IYCLTTCIYCCTTL Le simple fait d'accéder à une ressource non autorisée est passible de poursuites. Mais bon, chine+bot = la seule seule chose à faire est de revoir les règles du firewall... Mais sinon, il n'y a pas besoin de force brute pour véroler une machine : un dictionnaire de failles liés aux versions des différents services suffit. On a beau dégager les infos de version du serveur, il existe des requêtes type pour quand même les déterminer

_skip Vu la nature du serveur, je me garde un backup du système : si un truc pareil m'arrive, c'est restauré en moins de 5 minutes :D Dans ton cas, c'est probablement une faille qui a été exploitée, pas les mots de passe.

C'est ce que je pense aussi, surtout que c'était une vieille lenny de 2009 ou presque. Impossible à mettre à jour car elle est criblée de services installés par le hosteur qui cassent au moindre update du kernel.