Ubuntu-fr

bruno

Re : Vérification sur les droits d'un nouvel utilisateur

Bon j'ai testé avec un serveur qui utilise MariaDB 10.3, un utilisateur distant peut utiliser la commande system (ou \!).

J'ai aussi jeté un coup d'œil à la doc de l'application privatrice Navicat. Elle offre différents modes de connexion, le plus intéressant étant celui que je supposais : établissement d'un tunnel SSH avec le serveur puis connexion à la base de donnée localement. C'est très sécurisé puisqu'il n'y a pas besoin d'ouvrir le serveur MySQl sur l’extérieur (dangereux) et que les données transitent dans un tunnel chiffré. En outre il suffit d'un utilisateur sans shell  avec TCPForwarding comme je l'indiquais en #13.

Donc si den66 créé un utilisateur tartempion ainsi :

sudo useradd --shell /bin/true ----home-dir /dev/null tartempion

Avec un mot de passe bien solide, cela devrait fonctionner.

MicP

Re : Vérification sur les droits d'un nouvel utilisateur

… Avec un mot de passe bien solide, cela devrait fonctionner. …

Plutôt qu'un mot de passe, utilise l’authentification par clef,
c'est encore plus sûr, et ça t'évitera d'avoir à nettoyer régulièrement les fichiers logs
des très très nombreuses tentatives de connexion venant du monde entier.

Dernière modification par MicP (Le 22/05/2020, à 14:09)

den66

Re : Vérification sur les droits d'un nouvel utilisateur

Bonjour Messieurs,

Chose promise, chose due.

J'ai commencé par faire mon snapshot (béni soit le type qui a inventé ça !-).
J'ai tenté la solution de MicP mais le package n'était pas disponible. J'ai un peu regardé si je pouvais le charger autrement, mais je connais mes limites et j'ai préféré renoncer.
J'ai donc tenté la solution de Bruno en suivant la procédure indiqué ici : https://fr-wiki.ikoula.com/fr/Chrooter_ … urs_Debian
Après la deuxième étape (adduser -g chrootgrp notre_utilisateur), c'est-à-dire après avoir créer le groupe, je ne sais pas pourquoi, j'ai été déconnecté et plus de connexion SSH, plus de site, plus rien !
J'ai remis le snapshot et tout est rentré dans l'ordre.

Aussi, et je comprendrais si vous rigolez dans vos barbes (tant soi dit que vous en ayez une), il n'y aura pas de compte pour mon pote et je lui enverrai un DUMP quand il aura besoin de faire des extractions dans la BDD !

Désolé d'avoir voulu faire un truc qui m'est inaccessible (comme quoi, je n'étais pas aussi conscient de mes limites que je le dis plus haut) et de vous avoir pris du temps pour cela.
En tout cas, encore merci pour votre aide en espérant que cette discussion puisse servir à quelqu'un de plus aguéri que moi.

Vous souhaitant un bon week-end et espérant que cette saloperie postillonnée vous ait épargné ainsi que vos proches.

MicP

Re : Vérification sur les droits d'un nouvel utilisateur

Bonjour

… je lui enverrai un DUMP quand il aura besoin de faire des extractions dans la BDD ! …

Pour la BDD, c'est la solution la plus "secure" qu'il y ait,
moins il y aura de personnes qui viendront bricoler ce serveur, plus il aura de chance de tenir longtemps.
En espérant qu'il ne demande pas des DUMP toutes les 5 minutes,
et puis, les DUMPs, tu peux aussi les chiffrer avant de les envoyer par ssh

Faîtes gaffe à vous, si le ce virus est politiquement mort,
c'est pas sûr du tout qu'il le sache ou/et que ça lui fasse grand chose.

den66

Re : Vérification sur les droits d'un nouvel utilisateur

D'ailleurs, comme j'ai une sauvegarde automatique, je vais la faire sur un dossier de son interface avec un .htaccess pour l'accès et il n'aura plus qu'à changer la date du dump pour télécharger la dernière sauvegarde.

Effectivement, autant j'arrive à peu près à gérer la partie Web du serveur, autant pour le reste...

Quant au virus, effectivement, je crois qu'il doit bien se marrer de ce que nos politiques disent de lui.
Encore merci pour tout.
D.

MicP

Re : Vérification sur les droits d'un nouvel utilisateur

Pense aussi à faire une mise à jour de ton système ubuntu, car :

https://www.cert.ssi.gouv.fr/pdf/CERTFR … VI-312.pdf

https://usn.ubuntu.com/4369-1/

=======
De temps en temps, allez faire un tour sur : https://www.cert.ssi.gouv.fr/

Dernière modification par MicP (Le 23/05/2020, à 14:23)

den66

Re : Vérification sur les droits d'un nouvel utilisateur

Oui... Tout les matins en buvant mon café, je fais update, upgrade s'il y a et je vérifie mes plugins SPIP.
Il y a quelques année, je me suis pirater via un plugins, et ça m'a servit de leçon !
Merci pour ton soutien et tes conseils.