Bekijk Volledige Versie : e107 gevaarlijk lek
Beter doet iedereen even controleren of hij nog geen botnet op zijn server heeft staan ;) Er zijn wat kiddies over-actief momenteel om hosting servers om zeep te helpen met de zojuist uitgegeven e107 remote execution exploit code. Ik had hem ineens op mijn hobbyserver staan (die ik al jaren niet meer update ;)). De hele execution gebeurt d.m.v. $_POST code waardoor niets terug te vinden is in de logs. Werkt met een callback shell dus ook je ssh configuratie doet er niet toe. Eenmaal binnen proberen ze een lijst local-root exploits uit en klaar zijn ze. Geen fxp kinderen, het gaat hun puur om ddos kracht en snappen niet dat een load van gemiddeld 170 op linux opvalt..
Ohja simpele fixes (tijdelijk dan wel) zijn deze:
mv contact.php eenanderenaam.php
chmod 000 /tmp/bo
chmod 000 /tmp/s.pl
En als je geen suphp/suexec hebt draaien dan kun je maar beter backups beginnen terug te zetten. Alle index.* bestanden worden voorzien van een hidden iframe. Door mijn toch wel goede configuratie hoefde ik gelukkig alleen wat binaries te verwijderen :)
Yourwebhoster
07/06/10, 13:25
Even geleden had een klant last van zo'n shell scriptje, bleek al voor de verhuizing bij hem op de server gestaan te hebben. Hiermee werd inderdaad ook een iframe en een fopen aan de php code toegevoegd, waardoor de website van de klant als "foute website" aangemerkt werd.
Inderdaad last van gehad. Heb de contact.php veranderd, en de index files nagelopen.
Daarna stel IP's in de filter gegooid, ook al werkt dat natuurlijk voor geen meter.
Edit: een mailtje naar e107 is verstuurd om ze op de hoogte te brengen.
Triloxigen
07/06/10, 13:45
e107, alsin het cms neem ik aan?
(de informatie van de TS is erg beperkt)
Gaat het om dit lek?: http://php-security.org/2010/05/19/mops-2010-035-e107-bbcode-remote-php-code-execution-vulnerability/index.html
Of om een ander? Dit lek kan enkel voor PHP code executie gebruikt worden, dus als je de foute functies hebt disabled niet zo gevaarlijk?
Gaat het om dit lek?: http://php-security.org/2010/05/19/mops-2010-035-e107-bbcode-remote-php-code-execution-vulnerability/index.html
Of om een ander? Dit lek kan enkel voor PHP code executie gebruikt worden, dus als je de foute functies hebt disabled niet zo gevaarlijk?
Nope dit is versie 0.7.20, nieuwste is 0.7.22 waarin de lek die jij net aangaf al gefixt is.
Nope dit is versie 0.7.20, nieuwste is 0.7.22 waarin de lek die jij net aangaf al gefixt is.
Is er een pagina meer meer info over deze hack? met de fix erbij (zoals in de link die ik gaf php.bb leeg gooien).
Versie 0.7.22 is dus niet vatbaar voor de aanval met het contact.php script? Dus klanten adviseren direct te updaten is het enige wat je kunt doen, het is niet zo dat er nu een lek rond zwerft wat niet gepatcht is en nu gebruikt wordt voor ddos aanvallen?
http://e107.org/e107_plugins/forum/forum_viewtopic.php?198144
Ze zijn er ook mee bezig :)
Deze actie komt ook voor in versie 0.7.22. Met mijn vorige reactie bedoelde ik te zeggen dat de vulnerability die jij aangaf wel gefixt is in 0.7.22.
http://e107.org/e107_plugins/forum/forum_viewtopic.php?198144
Ze zijn er ook mee bezig :)
Deze actie komt ook voor in versie 0.7.22. Met mijn vorige reactie bedoelde ik te zeggen dat de vulnerability die jij aangaf wel gefixt is in 0.7.22.
Jep got it :) De enige fix op dit moment is contact.php hernoemen naar wat anders?
Ik zie:
I've solved it by not allowing PHP to run shell_exec but it seems that the real solution is to fix the exploit in the contact page.
Dus shell_exec in de forbidden list is ook een oplossing? Dat hebben we standaard al dus scheelt veel werk :)
Contact.php hernoemen/verwijderen/redirecten heeft bij mij goed geholpen.
Verder de standaard beveiliging zoals je al zei ;)
Contact.php hernoemen/verwijderen/redirecten heeft bij mij goed geholpen.
Verder de standaard beveiliging zoals je al zei ;)
Dus eigenlijk maakte Tim me bang met een storm in een glas water? :p
Die scans richting contact.php boeien me niet zo, zolang er maar niks misbruikt wordt.
Je kan voor de zekerheid nog even je index.* nalopen op iframes e.d.
Maar volgens mij kan je redelijk zijn dat er niks veranderd is, behalve dan de toename aan bandwith door de bots.
Dus eigenlijk maakte Tim me bang met een storm in een glas water? :p.
Mits je de server op een goede wijze beveiligd hebt zal er niks aan de hand zijn behalve toegenomen dataverkeer.
Daarnaast moet je ook een up-to-date versie draaien van e107 omdat er in oudere versies wel een contact.php vulnerability zat.
Het klopt. Ik waarschuw ervoor omdat ik nog altijd hosters tegenkom die lang niet alles beveiligen. En php heeft wel meer opties dan shell_exec() en system() om code uit te voeren..
Maar die rename werkt perfect hier. Al uren geen perlscripts meer (die runnen als procesnaam 'rocknrollaaaa').
De afgelopen dagen ook wat van dit soort activiteit gezien. Het hernoemen van contact.php (of verwijderen ervan) bleek voldoende.
Dit hebben wij ook mee gemaakt, we hebben de contact.php renamed en een nieuwe contact.php aangemaakt met de vermelding dat het e107 cms systeem een ernstig lek bevat en dat dit opgelost moet worden.
Dit hebben wij ook mee gemaakt, we hebben de contact.php renamed en een nieuwe contact.php aangemaakt met de vermelding dat het e107 cms systeem een ernstig lek bevat en dat dit opgelost moet worden.
Dat valt echt erg mee, mits je server fatsoenlijk geconfigureerd is en je e107 installatie up-to-date is (0.7.22). In die update is de contact.php exploit gefixt en door fatsoenlijke server configuratie voorkom je vooral verdere verspreiding.
Als ze eenmaal binnen zijn zoeken ze andere e107 installaties en dan ben je de pineut.
Bericht op de e107 site met uitleg over deze 'attack':
Over the past couple of days a lot of e107-based sites (including e107.org) have been under attack from two angles:
1. Repeated accesses of contact.php. The objective of these attacks was to compromise sites via a vulnerability which existed in older e107 versions.
This vulnerability is fixed (as far as we know) in 0.7.22 - so if you haven't already upgraded, do it yesterday!
If you already have 0.7.22 installed, the attack simply loads up the server, and becomes a DDOS. It shouldn't be able to gain access to your site; but will slow it down (or seize it up).
If you are running earlier versions of e107, the hackers will most likely have gained access and uploaded various files. These include a Perl script which does all sorts of nasty things. So upgrade your site, and check carefully for strange files - delete any which shouldn't be there. This thread lists the files one user found. File Inspector will also help here.
2. Repeated accesses of the file 'help_us.php' (which they expect to be uploaded as part of the previous attack). Usually this will trigger a 'page not found' error. Typically this is the standard e107 error page, which does some database access, again slowing down the server. Thus this is also a DDOS attack.
In most cases (assuming you are running 0.7.22) your host is the best person to help with these attacks, by putting in server level blocks on the relevant IP addresses. (There are a large number of addresses involved - most likely a botnet of some sort).
There are a number of forum threads on this topic; things you can do to reduce the effect of the attacks (but not stop them) include:
1. If you're not using the contact form, delete contact.php
2. If you are using the contact form, rename it, and update the link.
3. Put in a 'pure HTML' error page for '404' (page not found) errors
While we believe that 0.7.22 blocked these attacks, we are aware of a few 0.7.22 sites that have been compromised. It seems likely that a different attack vector was used in these cases - most likely via a plugin. Or possibly via other means, such as a compromised FTP password. So please check server logs etc to try and identify how access was gained.
http://www.e107.org/comment.php?comment.news.868
Dat valt echt erg mee, mits je server fatsoenlijk geconfigureerd is en je e107 installatie up-to-date is (0.7.22). In die update is de contact.php exploit gefixt en door fatsoenlijke server configuratie voorkom je vooral verdere verspreiding.
Als ze eenmaal binnen zijn zoeken ze andere e107 installaties en dan ben je de pineut.Onze servers zijn hier tegen beveiligd, echter werd er wel geprobeerd de commands uit te voeren.
We werden hierover vrijwel direct per mail automatisch op de hoogte gesteld.
Onze servers zijn hier tegen beveiligd, echter werd er wel geprobeerd de commands uit te voeren.
We werden hierover vrijwel direct per mail automatisch op de hoogte gesteld.
Een verklaring hiervoor is dat ze via een ander 'lek' (niet up to date) script zijn binnen gekomen. De contact.php is gefixt in een vorige versie van e107.
Als alle installaties op je server van e107 de meest recente versie draaide (0.7.22) dat zijn ze niet via e107 binnen gekomen (mits je geen public uploads hebt aanstaan e.d. wat ook wordt vermeld in de post).
Als er ook maar één een oudere e107 installatie is kan het inderdaad zijn dat ze via een lek zijn binnen gekomen, en once they get in....
Toch goed om te horen dat je snel er bij was :)