Bekijk Volledige Versie : Server
remoteoffice
20/04/08, 13:09
Van de week heb ik een server geinstalleerd met Fedora 6.
Na deze installatie heb ik niks gedaan en stond deze via internet verbonden.
Nu kreeg ik een klacht dat deze gehackt was en dat deze 1200 inbraak pogingen had gedaan bij een andere server.
Hoe kan ik dit controleren en ben puur nieuwsgierig hoe ze erop zijn gekomen.
(voordat ik de machine formateer)
De log files zijn allemaal leeg.
Weet iemand een idee hoe dat kwam ?
Swiftway-UK
20/04/08, 14:15
Het kwam omdat je een install hebt gedaan en daarna niets ermee gedaan hebt.
Je moet een server altijd direct beveiligen, anders is hij gegarandeerd binnen 48 uur het haasje.
Oude versie van OpenSSL / OpenSSH. Dit zijn vrij kwetsbare zaken.
Of gewoon een slecht wachtwoord? Genoeg bruteforce lijsten beschikbaar.
crazycoder
20/04/08, 15:39
Volgens mij vraagt ts niet om jezelf op koffiedik of je grazenbol uit te leven :) maar enkele ideeën te spuien hoe hij kan achterhalen wat er is gebeurt.
In de eerste plaats moet die server natuurlijk offline. Bijv. door de netwerkkabel eruit te trekken.. Wat je kan doen is een identieke installatie uitvoeren op een andere schijf en vervolgens te gaan controleren welke bestanden anders/verandert zijn.
Het is ook mogelijk om te achterhalen of er een bekende rootkit is gebruikt, hier is genoeg informatie over te vinden..
Logfiles leegmaken is niet zo heel erg moeilijk..
remoteoffice
20/04/08, 19:29
Slecht password is het niet, het is een complex wachtwoord met speciale tekens.
Voor de rest had ik wel iptables gebruikt maar dat heeft weinig geholpen.
Gebruiken jullie extra firewall software ?
crazycoder
20/04/08, 20:00
Voor de rest had ik wel iptables gebruikt maar dat heeft weinig geholpen.
Dat zegt natuurlijk niets. Je kan dat maken of breken met de juiste configuratie.
En als jij in je firewall een port open zet naar een brakke versie van bijv OpenSSH, Sendmail oid, dan schiet het nog niet echt op ;)
dreamhost_nl
21/04/08, 07:59
Zonder toegang tot je server is het niet te achterhalen hoe men is binnen gekomen en is het voor ons dus alleen maar gissen. Misschien al geprobeerd om rkhunter te draaien?
Tip: Zet op een server geen Fedora, maar CentOS. En doe na de install van CD/DVD gelijk een update van alle bestanden. Op die manier sluit je veel "hacks" uit.