Raq550 nieuwe site gelijk groot

[tinusrinus]

Hallo iedereen,
Ik heb een probleem met een server van mij.
Ik heb een raq550 server welke vorige week is gehackt en iemand er een ddos aanval mee heeft uitgevoerd. (koste me 950GB dataverkeer extra).
Om alle elende voor te zijn heb ik er voor gekozen om het servertje leeg te maken en alle website na een verse install terug te zetten.
Nu het probleem.
Ik heb 15 van de 31 website terug gezet (alles handmatig ivm het veranderen van de standaard raq besturing naar bluequartz) en dat was geen probleem. maar nu heb ik het probleem met het aanmaken van 1 domein waarbij na aanmaken van de site deze gelijk 680 mb hd ruimte gebruikt terwijl er nog niks instaat (geen website en geen users)
Het gebeurt tot nu toe alleen met deze naam.
Het vreemde is dat de virtual site op het vorige besturings systeem ook stond en toen wel normaal was.
Iemand enig idee waar ik moet zoeken???

Alvast bedankt voor evt reacties.
Groetjes Tinus

[Spyder01]

Al eens naar de rechten van de files gekeken? Anders de rechten niet goed staan, worden binnen die gebruiker ook andere files meegerekend.

[mikeh]

U bent van plan om een recentelijk backup te herplaatsen van een gehackte server.

Heeft u overleg met uw klanten gehad omtrent dit probleem ?

[tinusrinus]

Ik heb iets anders ontdekt betreffende de grote virtual site....nl.
Het betreft in dit geval site 123/site19 en na wat terug spitten blijkt dat de site die op dat server adres draaide inderdaad ook 680 mb was...:innocent::o Dus ik denk dat het opnieuw installeren van het besturingssysteem niet heeft geholpen en ik eest had moeten formatteren.
ik was er vanuit gegaan dat dit tijdens het installen zou gebeuren maar klaarblijkelijk niet dus.....
helaas moet ik nu opnieuw beginnen denk ik.
Andere sugesties zijn uiteraard altijd welkom.
En ja ik heb met sommige klanten overleg gehad betreffende hun websites.. de sites waarvan ik het idee heb dat ze niet veilig meer zijn worden niet direct terug geplaatst.
Maar heb nog niet echt een idee via welke weg ze zijn binnengekomen.
De 2 aangemaakte users van waaruit de aanval is gedaan bestonden nog niet op de server.....
Ben me nog in de logfiles aan het verdiepen...:O:O

Bedankt alvast voor jullie reacties en ik hoop op adviezen waarbij ik niet weer opnieuw hoef te beginnen maar mocht het niet anders zijn hoor ik het ook graag uiteraard.

Groetjes Tinus

[mikeh]

Beste,

Welke daemons+ versies had je draaien?
Hoe recent waren je updates ?
Hadden je sites (van klanten) vuige scripts draaien ? (denk aan phpshell en nog meer van die troep)
Draaide je php in safemode, suphp ...........

Kan hier wel een hele opsomming van mogelijkheden neerschrijven, dat kost me meer tijd dan dat jij dat ff lokaal checkt :-)
Of de logs ergens neer dumpt.