Bekijk Volledige Versie : Site gehackt.
slipperman
06/10/08, 18:30
Een domein waar niets op stond staat nu ineens het volgende op:
(Alleen html, dus gewoon klikbaar)
Het staat op mijn dedicated server.
Ik maak gebruik van chrootkit, rkhunter en apf firewall.
Iemand enig idee wat dit kan zijn?
Link: http://www.downloadchrome.be/
Alvast bedankt.
Danny
Staat er een joomla achtig pakket op je server, misschien op een van je andere domeinen?
Staat er Joomla of dergelijke op?
//Edit, damn, pierce is weer vlugger...
slipperman
06/10/08, 19:25
Nee, geen joomla site.
Eventueel iets met phpbb of forum software?
Ook vaak veel lekken in te vinden.
vraag het ze even zelf, ze geven toch hun email adres
dreamhost_nl
06/10/08, 19:48
Ik maak gebruik van chrootkit, rkhunter en apf firewall.
Dat vrijwaart je niet van fouten in geïnstalleerde scripts. Er zijn zat scripts, zoals hiervoor ook al genoemd, waarin programmeerfouten voorkomen, waardoor een derde partij bestanden kunnen installeren zonder toegang tot FTP of SSH en zelfs zonder inlogcodes.
gewoon verwijderen die troep. Indien alleen html dan hebben ze wellicht je ftp gehackt of zo
su6
Jan
kijk naar de index.html file, en kijk na wat de change-datum en uur is. Ga daarna in je logfiles op zoek rond dit tijdstip, en controleer wat er allemaal gebeurd is. Vermoedelijk is ofwel je paswoord zwak voor die account, ofwel zit een andere klant van jou met lekke scripts.
check van welke user die file is. Als het www-data/apache/oid is dan weet je dus dat het niet via ftp binnen is gekomen. Kijk dan eens naar Suexec, suphp of mod_ruid om te zorgen dat files onder de goede uid komen te staan.
Dit helpt tevens tegen het overschrijven/aanpassen van files die niet van de user zijn waar in het betreffende script/site word aangeroepen.
Het kan ook komen door een oude versie van Webspell?
Daar zit namelijk een bug in zodat men gewoon je ftp gegevens kan opvragen via een afbeelding, in latere versies is dat opgelost :)
slipperman
06/10/08, 23:40
Ik maak geen gebruik van Webspell
Er staan geen andere klanten op behalve sites van me eigen.
Hoe kan ik zien doorwat de file is aangemaakt?
Dan zul je echt de logfiles moeten gaan nakijken zoals Wonko al aangaf.
Die Turkse hacker is me wel bekend, heb ik al een paar keer gezien bij hacks van vBulletin forums waarbij gebruik werd gemaakt van mods die niet waterdicht waren o.a.
Kan ook een gewone deface geweest zijn, maar om er achter te komen wat het was zijn toch echt de logfiles cruciaal.
doe nu gewoon eens wat ik voorgesteld heb... je krijgt tips, maar je gebruikt ze niet?
cd /var/www;find . -name *.php
(of een andere dir als je die gebruikt voor je www)
Heb je direct een lijstje met alles wat potentieel exploitable is :P
jeroen2496
08/10/08, 10:43
en ???
slipperman
09/10/08, 00:13
Ik ga er iemand naar laten kijken, want ik kom er zelf niet aan uit.
Iemand nog een idee waar ik voor een redelijke bedrag (lees geen honderden euro`s) dit kan laten fixen? En er voor zorgen dat dit ook niet meer in de toekomst gebeurd.
Ramon Fincken
09/10/08, 00:16
Ik ga er iemand naar laten kijken, want ik kom er zelf niet aan uit.
Iemand nog een idee waar ik voor een redelijke bedrag (lees geen honderden euro`s) dit kan laten fixen? En er voor zorgen dat dit ook niet meer in de toekomst gebeurd.
goede systeembeheerder inhuren ? Spreek Randy hier op het forum eens aan
slipperman
11/10/08, 15:26
Oke bedankt Ramon,
Heb met Randy gesproken en het gaat helemaal goed komen.
Nog bedankt iedereen.
Ramon Fincken
11/10/08, 17:27
You're welcome ;)