Bekijk Volledige Versie : Grote problemen (gehackt?)
Laatst een hacker die wat indexen had vervangen op websites, nu opeens zo'n beetje hele websites weg...
Het is een hobbyserver en gelukkig heb ik een volledige backup maar dit is super irritant natuurlijk. Van heel veel sites is alles weg, van een aantal alleen de bestanden in de root en sommige mappen.
Ik heb gekeken in /var/log/auth.log en kom dit tegen:
May 13 07:35:15 server su[25717]: Successful su for nobody by root
May 13 07:35:15 server su[25717]: + ??? root:nobody
May 13 07:35:15 server su[25717]: (pam_unix) session opened for user nobody by (uid=0)
May 13 07:35:15 server su[25717]: (pam_unix) session closed for user nobody
May 13 07:35:15 server su[25719]: Successful su for nobody by root
May 13 07:35:15 server su[25719]: + ??? root:nobody
May 13 07:35:15 server su[25719]: (pam_unix) session opened for user nobody by (uid=0)
May 13 07:35:15 server su[25719]: (pam_unix) session closed for user nobody
May 13 07:35:15 server su[25721]: Successful su for nobody by root
May 13 07:35:15 server su[25721]: + ??? root:nobody
May 13 07:35:15 server su[25721]: (pam_unix) session opened for user nobody by (uid=0)
May 13 07:36:15 server su[25721]: (pam_unix) session closed for user nobody
Lijkt me niet goed?
Wat kan ik doen? Waar moet ik zoeken? Zo ver gaat mijn kennis van Linux niet, niet op dit niveau dus alle hulp is zeer welkom.
Welke log bestanden moet ik nakijken? Waar moet ik op letten? Kan ik achterhalen vanaf welk IP dit komt? Hoe beveilig ik de boel beter?
Ik zie ook veel van deze regels met CRON en een nummer in auth.log:
May 13 17:30:01 server CRON[11263]: (pam_unix) session opened for user root by (uid=0)
May 13 17:30:01 server CRON[11263]: (pam_unix) session closed for user root
May 13 17:39:01 server CRON[11598]: (pam_unix) session opened for user root by (uid=0)
May 13 17:39:01 server CRON[11598]: (pam_unix) session closed for user root
May 13 18:00:01 server CRON[12174]: (pam_unix) session opened for user root by (uid=0)
May 13 18:00:01 server CRON[12174]: (pam_unix) session closed for user root
May 13 18:09:01 server CRON[12417]: (pam_unix) session opened for user root by (uid=0)
May 13 18:09:02 server CRON[12417]: (pam_unix) session closed for user root
May 13 18:17:01 server CRON[12748]: (pam_unix) session opened for user root by (uid=0)
May 13 18:17:01 server CRON[12748]: (pam_unix) session closed for user root
May 13 18:30:01 server CRON[13186]: (pam_unix) session opened for user root by (uid=0)
May 13 18:30:01 server CRON[13186]: (pam_unix) session closed for user root
May 13 18:39:01 server CRON[13385]: (pam_unix) session opened for user root by (uid=0)
May 13 18:39:01 server CRON[13385]: (pam_unix) session closed for user root
May 13 19:00:01 server CRON[14020]: (pam_unix) session opened for user root by (uid=0)
May 13 19:00:01 server CRON[14020]: (pam_unix) session closed for user root
May 13 19:09:01 server CRON[14258]: (pam_unix) session opened for user root by (uid=0)
May 13 19:09:01 server CRON[14258]: (pam_unix) session closed for user root
May 13 19:17:01 server CRON[14508]: (pam_unix) session opened for user root by (uid=0)
May 13 19:17:02 server CRON[14508]: (pam_unix) session closed for user root
May 13 19:30:01 server CRON[14833]: (pam_unix) session opened for user root by (uid=0)
May 13 19:30:01 server CRON[14833]: (pam_unix) session closed for user root
May 13 19:39:01 server CRON[15061]: (pam_unix) session opened for user root by (uid=0)
May 13 19:39:01 server CRON[15061]: (pam_unix) session closed for user root
May 13 20:00:01 server CRON[15599]: (pam_unix) session opened for user root by (uid=0)
May 13 20:00:01 server CRON[15599]: (pam_unix) session closed for user root
May 13 20:09:01 server CRON[15810]: (pam_unix) session opened for user root by (uid=0)
May 13 20:09:01 server CRON[15810]: (pam_unix) session closed for user root
May 13 20:17:01 server CRON[16036]: (pam_unix) session opened for user root by (uid=0)
May 13 20:17:01 server CRON[16036]: (pam_unix) session closed for user root
Ik draai Debian etch (4.0) en ISPConfig.
Om te beginnen ispconfig eens uitzetten. Deze vanuit de shell startten enkel wanneer die nodig is. Veelal zitten hier problemen in, zeker als je verdie niet ui2date is.
Om te beginnen ispconfig eens uitzetten. Deze vanuit de shell startten enkel wanneer die nodig is. Veelal zitten hier problemen in, zeker als je verdie niet ui2date is.
Er zijn meer mensen die ISPConfig gebruiken naast ikzelf, dus uitzetten is geen optie.
Ik lees ook iets over SSH, moet ik dat beter beveiligen? (bijvoorbeeld alleen kunnen inloggen via 1 IP, kan dat?)
Dat kan zeker. Zijn vele mogelijkheden voor ;)
Er zijn meer mensen die ISPConfig gebruiken naast ikzelf, dus uitzetten is geen optie.
Ik lees ook iets over SSH, moet ik dat beter beveiligen? (bijvoorbeeld alleen kunnen inloggen via 1 IP, kan dat?)
Doe nu maar (tijdelijk) even en houd dan je log in de gaten. Dan weet je in ieder geval waar de oorzaak van je probleem zit...
is de software up-to-date? wordt er gebruik gemaakt van een firewall? Er kunnen zoveel factoren debet zijn aan dit 'probleem', dat dit zo vanaf een afstand moeilijk precies in te schatten is.
(Eventueel kan TS contact met ons opnemen voor wat consultancy, dat wij de machine nakijken en/of een beetje dichttimmeren, iets wat meerdere partijen hier waarschijnlijk wel aan kunnen bieden)
Met vriendelijke groet,
Vince van Domburg
SysTech Media
is de software up-to-date? wordt er gebruik gemaakt van een firewall? Er kunnen zoveel factoren debet zijn aan dit 'probleem', dat dit zo vanaf een afstand moeilijk precies in te schatten is.
(Eventueel kan TS contact met ons opnemen voor wat consultancy, dat wij de machine nakijken en/of een beetje dichttimmeren, iets wat meerdere partijen hier waarschijnlijk wel aan kunnen bieden)
Met vriendelijke groet,
Vince van Domburg
SysTech Media
Het is een hobbyserver, dus het mag niets kosten ;) Daarom doe ik ook alles zelf en tot nu toe was het allemaal nog niet zo erg. Nu wel...
Het stomste is dat poort 22 waar ssh op draaide nooit open heeft gestaan op de router. Ik heb SSH nu op een andere poort draaien.
Het is een hobbyserver, dus het mag niets kosten ;) Daarom doe ik ook alles zelf en tot nu toe was het allemaal nog niet zo erg. Nu wel...
Het stomste is dat poort 22 waar ssh op draaide nooit open heeft gestaan op de router. Ik heb SSH nu op een andere poort draaien.
Maar ISPConfig is zo lek als een mandje met de standaard instellingen.
Maar ISPConfig is zo lek als een mandje met de standaard instellingen.
Hoe moet ik deze dan beveiligen? Of heb je tips voor een beter (gratis!) hostingpanel?
de cron meldingen mag je in ieder geval vergeten...
Verder kun je beginnen met su te disablen voor normale users, en deze enkel beschikbaar stellen voor certain users of group. Hetzelfde geld eventueel voor sudo.
systemdeveloper
13/05/08, 21:45
Het is een hobbyserver, dus het mag niets kosten ;)
Niet bazelen... je wil niet weten wat voor een kosten je kunt krijgen als en hacker vrolijk een maandje gaat spammen vanaf je bak.
Als het geen geld mag kosten dan gaat het je gewoon veel tijd kosten met beveiligen etc.
In principe moet je een gehackte bak gewoon van het netwerk afsluiten natuurlijk. Als je dat niet doet kun je zelf strafbaar zijn aan het verlenen van medewerking aangezien je op de hoogte bent.
Of je echt gehacked bent of dat iemand op dat ding wat enthousiast opruiming gehouden heeft, weet je zelf natuurlijk het beste. Het is jouw server, maar een 'su' van nobody naar root is inderdaad niet iets om vrolijk van te worden. Je zou de crontab eens moeten checken naar dingen die elke minuut draaien, eventueel kijken of je /etc/passwd veranderd... kans dat je tripwire hebt draaien zal wel niet groot zijn, he ?
Succes iig.
Niet bazelen... je wil niet weten wat voor een kosten je kunt krijgen als en hacker vrolijk een maandje gaat spammen vanaf je bak.
Als het geen geld mag kosten dan gaat het je gewoon veel tijd kosten met beveiligen etc.
In principe moet je een gehackte bak gewoon van het netwerk afsluiten natuurlijk. Als je dat niet doet kun je zelf strafbaar zijn aan het verlenen van medewerking aangezien je op de hoogte bent.
Of je echt gehacked bent of dat iemand op dat ding wat enthousiast opruiming gehouden heeft, weet je zelf natuurlijk het beste. Het is jouw server, maar een 'su' van nobody naar root is inderdaad niet iets om vrolijk van te worden. Je zou de crontab eens moeten checken naar dingen die elke minuut draaien, eventueel kijken of je /etc/passwd veranderd... kans dat je tripwire hebt draaien zal wel niet groot zijn, he ?
Succes iig.
dat is een beetje overdreven. Je bent pas strafbaar als je willens en wetens niets doet om strafbare feiten tegen te gaan. Hij weet er inderdaad van maar dat hij niets doet om strafbare feiten te voorkomen is niet waar. Het aanmaken van dit topic zegt al veel.
systemdeveloper
13/05/08, 22:16
dat is een beetje overdreven. Je bent pas strafbaar als je willens en wetens niets doet om strafbare feiten tegen te gaan. Hij weet er inderdaad van maar dat hij niets doet om strafbare feiten te voorkomen is niet waar. Het aanmaken van dit topic zegt al veel.
Denk je echt dat wanneer je server 1000 mails per minuut staat te pompen (is maar voorbeeld hoor) of gebruikt wordt om andere servers te hacken, dat je er vanaf komt met het aanmaken van een topic op een forum en te roepen dat offline halen geen optie is en dat het niks mag kosten ? Right...
Ze hebben ook mijn vhosts en httpd.conf leeggehaald, gelukkig heb ik een databackup van laat in de middag en heb ik dagelijkse MySQL backups.
Ik kom er zo niet meer uit dus ik ga volledig herinstalleren. Welk control panel kan ik het beste gebruiken? Uiteraard wel een gratis control panel. Ik ben wat aan het zoeken geweest maar ben nog niet echt iets tegengekomen.
directadmin is niet gratis, maar wel redelijk goedkoop met de huidige dollarkoers. Uiteindelijk zal dat wat hogere initiele kosten met zich meebrengen, maar 2 uur knutselen aan je server kost meer.
Wat kost het dan? Ik vind Directadmin niet echt super prettig werken, maar als dat dit voorkomt is het altijd beter natuurlijk.
Op de DirectAdmin pagina moet je je eerst aanmelden voor je de prijs te zien krijgt...
Wat kost het dan? Ik vind Directadmin niet echt super prettig werken, maar als dat dit voorkomt is het altijd beter natuurlijk.
Op de DirectAdmin pagina moet je je eerst aanmelden voor je de prijs te zien krijgt...
Waar haal je die wijsheid vandaan? http://www.directadmin.com/pricing.html
Als je hem via je coloboer kunt kopen of via de partij die je server managed, kost het je een paar tientjes voor een 'internal' license.
Waar haal je die wijsheid vandaan? http://www.directadmin.com/pricing.html
Als je hem via je coloboer kunt kopen of via de partij die je server managed, kost het je een paar tientjes voor een 'internal' license.
Ik zag alleen een knop ORDER, had de pricing options niet gezien.
Het probleem is natuurlijk dat ik nu geen sites meer online heb, ondanks dat het hobby is en ik dus voor vrienden en kennissen sites host verwachten ze wel dat het werkt. Dus ik moet het probleem ook nu (lees: vannacht) oplossen. Dus een internal license bij een webboer krijgen zal een probleem zijn omdat ze nu vast de telefoon niet meer opnemen ;)
$299 vind ik behoorlijk wat, er zijn goedkopere panels heb ik al gezien. Ik ga nog even door met zoeken.
Ik manage mijn server zelf, hij staat hier 2m bij me vandaan.
$299 vind ik behoorlijk wat, er zijn goedkopere panels heb ik al gezien. Ik ga nog even door met zoeken.
Goedkoper ga je niet vinden, geloof me. Tenzij je een product hebt met limitaties.
Ik manage mijn server zelf, hij staat hier 2m bij me vandaan.
Dat hebben we gezien... :lovewht:
zit je bij een coloboer, of host je m zelf op je thuislijntje?
zit je bij een coloboer, of host je m zelf op je thuislijntje?
Het laatste. Zoals gezegd: het is een hobbyserver, daarom mag het ook eigenlijk niks kosten omdat het ook eigenlijk niks verdient ;)
zit je bij een coloboer, of host je m zelf op je thuislijntje?
http://whois.domaintools.com/82.217.43.32
Thuislijntje dus...
Erwin Zeeuw
13/05/08, 23:21
Ik denk dat dit risico's zijn die je op je neemt als je gaat hosten, of het nou voor de ouders, vrienden, buren is óf voor mensen die je niet kent...
Om op deze tijd een DA licentie te regelen is wel een beetje laat ja, goedkoper dan DirectAdmin ga je echt niet vinden hoor, zeker niet voor die kwaliteit. Een nadeel is dat DirectAdmin níet achter NAT werkt (dus achter je thuis routertje).
In ieder geval succes ermee!
Ik denk dat dit risico's zijn die je op je neemt als je gaat hosten, of het nou voor de ouders, vrienden, buren is óf voor mensen die je niet kent...
Om op deze tijd een DA licentie te regelen is wel een beetje laat ja, goedkoper dan DirectAdmin ga je echt niet vinden hoor, zeker niet voor die kwaliteit. Een nadeel is dat DirectAdmin níet achter NAT werkt (dus achter je thuis routertje).
In ieder geval succes ermee!
Wil je vanavond nog online met DirectAdmin en zonder zorgen om het beheer, regel dan ergens een resellerpakketje. Zo houdt je de kosten laag en los je alle problemen op. Alleen zul je handmatig de sites moeten verhuizen.
Een nadeel is dat DirectAdmin níet achter NAT werkt (dus achter je thuis routertje).
DirectAdmin werkt prima achter NAT (je kunt daarvoor bijvoorbeeld je externe IP aanmaken op een tweede NIC).
waarom niet kijken naar virtualmin?
voor webhosting werkt het perfect, compleet met controle paneel waar je zelf alles mee kan en een paneel voor je klanten.
als je naar webmin.com gaat en daar de virtualmin gpl license gebruikt kost het niets en ik vind het (zeker voor een test of thuisserver) een zeer goed pakket
Check anders openpanel (www.openpanel.com)..
Het probleem is natuurlijk dat ik nu geen sites meer online heb, ondanks dat het hobby is en ik dus voor vrienden en kennissen sites host verwachten ze wel dat het werkt. Dus ik moet het probleem ook nu (lees: vannacht) oplossen.
en voor dat bedrag heb je een fors reseller pakket, met mensen die er wel verstand vna hebben en de server behoorlijk beveiligen
ook is dat inclusief een DA toegang, dan kun jij lekker blijven hobby-en of je server en hebben je sites daar geen last van
leren in een productie omgeving, zonder fatsoenlijke kennis is het slechtste wat je kan doen
mijn advies: neem een reseller pakket, verhuis je websites, en hou je thuisserver alleen voor hobby-doeleinden, zet er webmin op voor 1 website en youre good to go. Haal de internetverbinding eraf, hang hem alleen aan je lokale netwerk en begin eerst met leren
VHCS is ook nog wel een leuk gratis paneel, alleen is mij niet bekend hoe veilig dat VHCS of OpenPanel is (bedankt, die kende ik ook nog niet).
Ik schrok zelf al dat ISPConfig met een standaard installatie zo lek schijnt te zijn. Zou daar ook wel graag meer over willen weten.
En resellerpakket met DA veilig? Dat is ook nog maar de vraag. Gezien mijn plannen ben ik eens rond gaan kijken, maar er zijn er nog zat die wel leuk resellerpakketjes verkopen, maar waarbij users onderling fijn de directory's (dus config.inc.php etc.) rechtstreeks via nano /home/andereuser/www etc. ofwel via een php script kunnen uitlezen.
Dus reselling nemen wil zeer zeker niet per definitie zeggen dat je ook veilig zit, of je moet al echt bij een echt goede provider zitten, en dan is het weer niet goedkoop.:)
Blacky,
Open_basedir restricty's aan zetten lossen dat op.
Verder PHP in (Fast)CGI draaien onder de user en alle bestanden chmodden naar 600/700. Zo moeilijk is het niet hoor...
Randy: Heb je het nu over het oplossen van de problemen met ISPConfig?
Of bedoel je dat wat ik tegen kwam bij reseller accounts?
Want ik reageerde hierop:
en voor dat bedrag heb je een fors reseller pakket, met mensen die er wel verstand vna hebben en de server behoorlijk beveiligen
Om aan te geven dat dit dus lang niet altijd het geval was. En als je dan toch nog zelf moet gaan lopen beveiligen, kun je ook je eigen server gaan draaien toch?
ronaldlokers
15/05/08, 09:56
VHCS is ook nog wel een leuk gratis paneel, alleen is mij niet bekend hoe veilig dat VHCS of OpenPanel is (bedankt, die kende ik ook nog niet).
VHCS is al een hele tijd niet meer bijgewerkt, dan kan je beter gaan kijken naar IspCP Omega (http://www.isp-control.net/). Dit is een afgeleide van VHCS en wordt zover ik weet nog wel actief ontwikkeld.
Er zijn wel een aantal paketten die je kunt gebruiken, je zou zelfs webmin kunnen proberen. (het is maar wat je leuk vind).
Maar wat je ook kiest, ik raad je toch aan om op de een of andere manier de toegang aan banden te leggen. Als je zegt dat je vrienden hebt die er gebruik van moeten maken, zorg dan dat hun IP doorgelaten wordt in de firewall, en dat de rest geblocked wordt, of zet een VPN op.
Edit: en kijk uit met je backup, je kunt net zo goed een backup van een backdoor hebben gemaakt.
@Ronaldlokers: Bedankt voor de tip!