Onderwerp: Server wordt aangevallen

Het gebeurt regelmatig dat er via lekke (php) scripts tooltjes geinstalleerd worden om mee te dossen. Niet om jouw server te dossen, maar om vanaf jouw server anderen te dossen. Met tcpdump, iptraf en dergelijke kun je dat verkeer zichtbaar maken. Meestal staan dit soort dingen dan in /tmp, omdat die directory voor iedereen (en dus ook voor nobody) schrijfbaar is. Het weggooien van die files helpt niet, omdat iets wat draait blijft draaien ook al gooi het het script of de binary zelf weg.

Als je zef niet in staat bent om dit soort dingen uit te zoeken (dat begrijp ik uit je post tenminste), kun je het beste beginnen met het moven van alles wat in /tmp staat naar een andere directory (voor eventueel later onderzoek) en het rebooten van je server. En check of het verkeer dan weg is.

Daarna is het zaak om er iemand bij te halen die goed is in security, bijvoorbeeld de jongens van Madison Gurkha. Alleen files moven en rebooten zou het probleem voor nu best op kunnen lossen, maar de kans is dan natuurlijk groot dat het binnen de kortste keren weer terug is, omdat je niets aan de oorzaak hebt gedaan.

Snelle aktie is in ieder geval wel geboden, omdat je met je uitgaande verkeer anderen waarschijnlijk overlast bezorgt.

Ik heb de /tmp geleegd.
Via netstat zie ik geen bijzondere programma`s draaien.
Tevens was de /tmp wel beveiligd

De ik "top" check zie ik 1 actief task.

Waar kan ik nog meer checken ?

Guys,

I heb een perl gescript gevonden op de TOP
hoe kan ik achterhalen, van wie deze perl script is en waar deze draait ?

ps -aux | grep perl ??

Beste heren,

Er start automatisch een PERL script op. Ik kill ze allemaal maar toch starten ze. Ik dacht dat ik mijn tmp had beveiligd maar toch krijg ik hoop bestanden op mijn tmp directory.

- Hoe kan ik mijn tmp beveiligen tegen perl scripten ?
- Hoe kan ik die perl script verwijderen

Wil iemand mij aub helpen

Oorspronkelijk geplaatst door pcmw

Er start automatisch een PERL script op.

Doe eens "pstree -Aup" en kijk door welk programma het perl script wordt opgestart.

Mocht dit de webserver zijn, kijk dan om welk tijdstip het script is opgestart ( "ps ax -o comm,cmd,lstart |grep perl" ), en kijk in de access log welke website/pagina er op dat exacte tijdstip is opgevraagd.

Ik heb in de logs gekeken maar daar zit ook niets in.

Hoe kan ik PERL uitzetten ?? Dat perl alleen door Root wordt gedraait en niet door een ander gebruiker?

Code:

chmod 700 `which perl`

Maar je kunt beter iemand met verstand van zaken naar je server laten kijken, want dit is geen werken natuurlijk. Je post ook geen enkele output van de commando's die je uitvoert zodat wij 0,0 inzicht hebben in jouw probleem.

Oorspronkelijk geplaatst door pcmw

Ik dacht dat ik mijn tmp had beveiligd maar toch krijg ik hoop bestanden op mijn tmp directory.

Het noexec mounten van /tmp heeft bij scripts geen zin en helpt alleen ter voorkoming van het uitvoeren van binary files. Wat wel heel goed werkt tegen eventuele schade door scripts is het werken met limits.

Het lijkt alsof alles nu weer normaal is.
BIj de eerste beste keer zal ik ook met output komen.

Heeejjj.... Arvid.... leuk dat je hier ook komt.... welkom.

Oorspronkelijk geplaatst door mrleejohn

Heeejjj.... Arvid.... leuk dat je hier ook komt.... welkom.

Thanx

hoe kan ik ervoor zorgen dat scripts met limits werken ?

Huur een sysadmin, je kunt toch niet met al je vragen voor een productieplatform wachten op antwoord op een publiek forum?

Elke 95% extra mibt kost je meer geld dan dat je kwijt bent aan een uurtje sysadmin, Ospito heeft al aangeboden dit te doen al dan niet betaald, met een contractje, het heeft naar mijn mening weinig zin om langzaam je informatie hier te vergaren over je specifiek probleem.

Je hebt te weinig kennis hiervoor, huur kennis in, dit gaat je namelijk veel meer geld kosten aan traffic.

Lees o.a dit maar eens door: http://www.seifried.org/lasg/users/