Bekijk Volledige Versie : server hack
Vakmensen,
Hopelijk zit ik juist hier: Het betreft een probleem met (denk ik) direct admin.
Het volgende is aan de hand. Op mijn server zijn er tijdstippen (zo'n 4 keer per dag) dat alle gehoste domeinnamen geen site laten zien maar direct doorverwijzen naar http://beladen.net.
Iedereen die een site bezoekt die gehost is op mijn server wordt dan doorverwezen naar beladen.net en krijgt gelijk een virus (trojan) alert.
Ik doe een restart van httpd en het probleem is dan verholpen... later op dag begint het gedonder dan weer.....
Kan dit een foute configuratie zin in direct admin???
Een configuratiefout op de server???
Of een lek in een gehoste site wat dan de hele server beinvloed???
Iemand ooit dit zelfde probleem gehad???
Dank voor ieder zinnig antwoord!
Emile
marsipulami
09/05/09, 00:05
heb je misschien een cron draaien ongevraagd die dit in werking zet? daar denk ik het eerst aan..
Tim.Bracquez
09/05/09, 00:18
kijk alvast je crons eens na zoals hierboven reeds vermeld,
is deze installatie nog met mod_php ? zoja zet even de shell_exec, exec etc uit... (een lijstje zo te vinden met google)
Wat zegt de error log waarom die stopt?
Trouwens update ook jouw scripts op de site, zoals joomla, phpbb etc...
In drie seconden had ik een phpinfo-bestand op je server. Dus veilig is die inderdaad niet. Al ben ik een pro. :)
Server API Apache 2.0 Handler
disable_functions no value
Begin eerst eens met wat functies disablen. Installeer CSF (http://www.configserver.com/free/csf/install.txt) en dat zal je al een handje helpen om fouten te vinden op je systeem.
mensen bedankt voor jullie snelle reacties, super!
Volgens de systeem beheerder staat alles correct ingesteld en zijn er geen fouten te ontdekken.
Het is vooralsnog rustig nu, dus we laten het even lopen zo...
Nogmaals dank!!
Ik weet niet wie je systeembeheerder is?
disable_functions no value
display_errors On
enable_dl On
Alle sites draaien nog steeds onder apache:apache
Om maar wat voorbeelden te noemen. Je kunt nu weer rustig wachten op de volgende hack :)
Een server draaien zonder een aantal belangrijke php functies te disablen is een heel erg slecht idee.
Heb het zelf ook eens meegemaakt, dan kun je er gerust op gaan zitten wachten tot iemand je server opnieuw hacked.
Ik weet niet wie je systeembeheerder is?
disable_functions no value
display_errors On
enable_dl On
Alle sites draaien nog steeds onder apache:apache
Om maar wat voorbeelden te noemen. Je kunt nu weer rustig wachten op de volgende hack :)
Dat is een geruststellende gedachte :thumbdown:
Randy,
'k heb je script met een regel uitgebreid :D
Randy,
'k heb je script met een regel uitgebreid :D
Vanmiddag was het weer raak.... :unsure:
Hoe bedoel je Mikeh??
klopklop, en ik ben weer binnen. :lovewht:
Zo gek is het niet Emile. Je server is nog steeds niet veilig. Sterker nog, er zijn je een paar handreikingen gedaan waar je helemaal niets mee gedaan hebt. Ik zie dat er nog steeds geen aanpassingen gedaan zijn in je configuratie.
(Voor de mensen die je per PM spammen of ik ook andere servers na wil kijken en hoe ik zo binnen loop, ik kan hier wel antwoord op geven: Het zou verre van not done zijn om dat hier bekend te maken. Veel meer servers hebben er last van. Heb er de afgelopen maand alleen al tientallen gehad die problemen hadden. Zolang er nog geen globale oplossing is, lijkt het me verre van verstandig om hier te zeggen waar de lekken zitten in standaard DA-setups)
bastingse iedereen probeert je te helpen en ze geven je tips.
Je steekt je kop in het zand en je volgt de goede raad hier niet op.
Maar wat doe je wel na de hulp die je krijgt, een bericht plaatsen op:
http://www.directadmin.com/forum/showthread.php?t=30866
Ik neem aan dat de hulp hier niet goed genoeg is anders doe je zoiets niet.
Mijn vraag is waarom doe je zoiets?
http://help.directadmin.com/item.php?id=247
Verder ben ik het eens met Herbert en Randy, lees eerst alle tips eens door. Red je systeembeheerder het niet, kijk dan voor professionele hulp.
beladen.net has been registered back in 2008, and was hosted by DIRECTI.
The domain has been identified as behaving badly, and to stop the spreading, DIRECTI and other involved parties in the DNS structure have “jailed” the domain by sending any and all request to a “grounding”.
How this works:
Each time anyone in the world request the domain beladen.net it will return the address 127.0.0.1 which is a reference to your own PC. That way beladen.net will not return any result unles you have a webserver running on your own server which will respond. – Effectively this would remove any traffic relating to accessing beladen.net from the internet, except the DNS traffic involved in resolving the name.
Yes, it is possible to curcumvent this trick to stop the domain from spreading by poisoning each and every individual dns server in the world, but that would require an immense workload on the “hackers” so this is not an option they’re actively persuing.
Let me just take a time out to clear out the issues we’re discussing in this thread:
beladen.net – A domain referenced on the internet and possibly involved in infection of multiple host computers running Apache web server. – This domain is prominent in many references of the Google diagnostics tool.
We are trying to establish a firm basis for detecting and removing the infection of the Apache web servers that are involved in this hacking attack.
api32.dll – A file residing in windows that may or may not be related to beladen.net. It is doubtful that this file has anything to do with the current references to beladen.net happening on web servers, but the file does have an impact on the system on which it is found.
tja... kreeg hier net te horen dat de bezoekers hen computers zijn geïnfecteerd.
Die verstuurd iets via de headers naar apache waarbij apache een nieuwe taak voorgeschoteld krijgt.
Deze zorgt voor de redirect.
Niks mis met apache dus, maar met de bezoekers hen computers.
scannen dus!
Apache de headers laten controleren? (mod_security bijvoorbeeld)
Makkelijkere optie is zorgen dat Apache de 'foute' URL's niet kan vinden. Dus beladen.net in je hosts-file zetten met 127.0.0.1.
Ik snap 1 ding niet, waarom wordt beladen.net niet uit de lucht gehaald als die duizenden PC's kan besmetten.
Er zal wel niet makkelijk zijn dat weet ik, het wordt tijd dat daar ook een wet voor komt dan.
Ik snap 1 ding niet, waarom wordt beladen.net niet uit de lucht gehaald als die duizenden PC's kan besmetten.
Er zal wel niet makkelijk zijn dat weet ik, het wordt tijd dat daar ook een wet voor komt dan.
Ja het zou mooi zijn als daar een wereldwijde wet voorkomt. Maar dat zal nooit gebeuren, landen willen alles zelf bepalen binnen de landgrenzen.
Ik snap 1 ding niet, waarom wordt beladen.net niet uit de lucht gehaald als die duizenden PC's kan besmetten.
Er zal wel niet makkelijk zijn dat weet ik, het wordt tijd dat daar ook een wet voor komt dan.
Als je mijn reactie had gelezen, had je kunnen zien dat deze allang uit de lucht was gehaald. 2008.
beladen.net has been registered back in 2008, and was hosted by DIRECTI.
The domain has been identified as behaving badly, and to stop the spreading, DIRECTI and other involved parties in the DNS structure have “jailed” the domain by sending any and all request to a “grounding”.
How this works:
Each time anyone in the world request the domain beladen.net it will return the address 127.0.0.1 which is a reference to your own PC. That way beladen.net will not return any result unles you have a webserver running on your own server which will respond. – Effectively this would remove any traffic relating to accessing beladen.net from the internet, except the DNS traffic involved in resolving the name.
Yes, it is possible to curcumvent this trick to stop the domain from spreading by poisoning each and every individual dns server in the world, but that would require an immense workload on the “hackers” so this is not an option they’re actively persuing.
Let me just take a time out to clear out the issues we’re discussing in this thread:
beladen.net – A domain referenced on the internet and possibly involved in infection of multiple host computers running Apache web server. – This domain is prominent in many references of the Google diagnostics tool.
We are trying to establish a firm basis for detecting and removing the infection of the Apache web servers that are involved in this hacking attack.
http://www.google.com/support/forum/p/Webmasters/thread?tid=74594d707b553698&hl=en
Klinkt redelijk, een of ander googleanalytcls.net is ook aan het hacken.
Vertaal het ook maar
Het eerste wat je moet doen is je site beveiligen.
Scan je computer en zorg ervoor dat er geen trojan/virussen of keyloggers aanwezig meer zijn.
Wijzig al je wachtwoorden voornamelijk FTP wachtwoorden.
Je kan je webhosting provider op de hoogte stellen omtrent het feit dat je gehacked bent. Zij kunnen dan eventueel hen klanten waarschuwen.
Of laten weten hoe je gehacked bent.
(dit heeft niet bepaald zin, het is 9/10 een php script dat lek is CMS programmas zijn altijd boosdoeners, daarnaast kan apache niet gehacked worden en 9/10 internet providers voornamelijk grote providers zijn echte veiligheids jongens.
Controleer je eigen website op virussen, o.a javascripts of externe javascripts .js bestanden. En zoek bestanden op die je niet kent. leeg ook je temp mappen. Dit is erg belangrijk.
Handige links:
My site's been hacked - now what? - Google Webmaster Central
http://googlewebmastercentral.blogspot.com/2008/04/my-sites-been-hacked-now-what.html
Tips for Cleaning & Securing your Website - StopBadware.org
http://www.stopbadware.org/home/security
Hey Google, I no longer have badware - Google Webmaster Central
http://googlewebmastercentral.blogspot.com/2008/08/hey-google-i-no-longer-have-badware.html
Once the site is secure and clean you need to submit a request for review in you Google WMT account.
If you provide your URL I am sure someone will take a look and try to identify any issues.