Server hacked. - Pagina 2

Magus · #16 (**permalink**) 26 February 2010, 18:16

tsjek ook ff of het wel allemaal outbound was, het kan ook zijn dat je stats vooral inkomend verkeer of zelfs broadcast meet. Je hebt dan slechts netjes in kaart gebracht wat de omvang van de ddos bij i3d was, zonder daar verder zelf aan deel te nemen. Zou niet voor het eerst zijn dat iemand zijn server ondersteboven keert om uit te zoeken wat nu het probleem is, terwijl het slechts verkeerde parameters zijn die gemeten worden

arjenlodder · #17 (**permalink**) 26 February 2010, 18:38

Citaat:

Oorspronkelijk geplaatst door Lite-On

Aha, daar kwam dus deels de overlast vandaan

?? Wat bedoel je hiermee.
Het is (ifconfig) outbound.
Als ik bij de stats van I3D gaat kijken is het Incoming. Maar dit is (imo) logisch te verklaren als hun van hun routers uitgaan...

Ik heb nog geen bericht van Randy.

Stewie · #18 (**permalink**) 26 February 2010, 18:40

Citaat:

Oorspronkelijk geplaatst door arjenlodder

?? Wat bedoel je hiermee.
Het is (ifconfig) outbound.
Als ik bij de stats van I3D gaat kijken is het Incoming. Maar dit is (imo) logisch te verklaren als hun van hun routers uitgaan...

Ik heb nog geen bericht van Randy.

Klopt; incoming vanuit de switch gezien (dus van server naar switch).

Lite-On · #19 (**permalink**) 26 February 2010, 19:09

Citaat:

Oorspronkelijk geplaatst door arjenlodder

?? Wat bedoel je hiermee.
Het is (ifconfig) outbound.
Als ik bij de stats van I3D gaat kijken is het Incoming. Maar dit is (imo) logisch te verklaren als hun van hun routers uitgaan...

Ik heb nog geen bericht van Randy.

Een server binnen ons netwerk was doelwit.

arjenlodder · #20 (**permalink**) 26 February 2010, 19:11

Tja, kan alleen maar zeggen dat het me spijt...
Wist het zelf namelijk ook niet... En waar zijn 'jullie' van? Waarom zouden 'jullie' aangevallen moeten worden?

Blacky · #21 (**permalink**) 27 February 2010, 02:37

Citaat:

Een server binnen ons netwerk was doelwit.

Zal best maar er hebben toch heel wat meer systemen last van gehad.

Ben benieuwd wat Randy gevonden heeft. Al doende leert men...

Lite-On · #22 (**permalink**) 27 February 2010, 09:49

Citaat:

Oorspronkelijk geplaatst door Blacky

Zal best maar er hebben toch heel wat meer systemen last van gehad.

Heb ik gezegd dat hij de enigste was? ;-)
Was een grote groep sources, allemaal servers welke waarschijnlijk op dezelfde manier infected (bots) waren.

arjenlodder · #23 (**permalink**) 27 February 2010, 19:06

Ik heb nog niets gehoord van Randy, wel heb ik hem netjes een mail met de gegevens gestuurd.
Mocht ik nog iets horen hou ik jullie op de hoogte

Het is trouwens nog steeds aan de gang. 266GB vandaag weer :S

Tim.Bracquez · #24 (**permalink**) 27 February 2010, 19:16

Citaat:

Oorspronkelijk geplaatst door arjenlodder

Ik heb nog niets gehoord van Randy, wel heb ik hem netjes een mail met de gegevens gestuurd.

Randy is een drukke man, geef hem even tijd en hij fixt het (lees: heeft het al gedaan als ik het goed lees op de twitter :-) of dat was een ander :-) )

arjenlodder · #25 (**permalink**) 1 March 2010, 10:44

Ik denk niet dat dat mijn server was.
Vandaag heb ik er namelijk weer last van. Gister echter niet.

Het is ook elke keer op een ander tijdstip, dus een cronjob zal het niet zijn.
Ik sta voor een raadsel.

Piwi-Web · #26 (**permalink**) 1 March 2010, 10:52

Citaat:

Oorspronkelijk geplaatst door arjenlodder

Ik denk niet dat dat mijn server was.
Vandaag heb ik er namelijk weer last van. Gister echter niet.

Het is ook elke keer op een ander tijdstip, dus een cronjob zal het niet zijn.
Ik sta voor een raadsel.

Het is een bot die gewoon op de achtergrond meedraait. Die uitzetten en verwijderen en je probleem is verholpen. Moet je alleen er nog achter zien te komen hoe deze uberhaupt op je server is gekomen.

1Ago · #27 (**permalink**) 1 March 2010, 11:59

Beginnen met alles te blocken en dan één voor één een port/service toe te laten.

arjenlodder · #28 (**permalink**) 1 March 2010, 14:33

Citaat:

Oorspronkelijk geplaatst door Piwi-Web

Het is een bot die gewoon op de achtergrond meedraait. Die uitzetten en verwijderen en je probleem is verholpen. Moet je alleen er nog achter zien te komen hoe deze uberhaupt op je server is gekomen.

Maar deze 'bot' is nergens te vinden.

Waar ik wel achter ben gekomen is dat het via Apache2 draait.
Als apache2 stop word gezet is het over. Dus hier zal iets inzitten.

Bart L · #29 (**permalink**) 1 March 2010, 16:09

Apache2 logging aanzetten dus, en eens kijken wat er allemaal overheen gaat.

Mod_Status aanzetten:
http://httpd.apache.org/docs/2.0/mod/mod_status.html

krijg je dit soort output:
http://httpd.apache.org/server-status

Cybafish · #30 (**permalink**) 1 March 2010, 16:21

Als zoiets gaande is: registreer wat er gebeurt op je server.

Onmisbare tools:
- iptraf
- netstat

Sluit niet uit dat je netstat binary is overschreven door een andere, dus het loont om de net-tools RPM te herïnstalleren (netstat zit in net-tools).

netstat -lnp geeft dan een mooi overzicht van de daemons die draaien. Als je een botje op je server hebt staan, dan zou die op een bepaalde port moeten luisteren.

Overigens geldt eigenlijk in dit soort gevallen: server compromised = reïnstall. Je weet nooit wat er allemaal is gebeurd en wat er is gewijzigd op je server. Als er ergens een lek zit, dan zit het er nog steeds. Botje vinden en uitschakelen is dan niet meer dan een paracetamolletje tegen de migraine.