Vraag over hack

[pentabase]

Beste mensen,

ik hoop dat dit de juist plek is om mijn vraag te stellen.

Een klant van mij heeft een aantal webservers. en sinds een paar dagen zijn we erachter gekomen dat er illigale activiteiten op de server aanwezig zijn. Tot nu toe heb ik de bron nog niet kunnen vinden, dus vandaar dat ik het even hier vraag.

Het gaat om het volgende. Een van de machines (linux) van mijn klant had geen schijfruimte meer over. na enig zoekwerk bleek dat er in de map /etc/fonts een map .syslog geplaatst te zijn. In deze map stonden nog meer mappen b.v. etc, bin, pub en sbin. in de map pub stond diverse illigale software. mijn conclusie is dus dat er een ftp server gestart is zonder mijn medeweten.

Heeft iemand dit al eens gezien of weet iemand hier een oplossing voor? ik kan de bron niet echt vinden. het zal wel weer een script van een klant zijn, maar dat weet je nooit zeker.

allen, opgelet dus op vollopende schijven.

alvast bedankt.

Henk Bakker
pentabase.nl

[ichosting]

Wij hebben dit probleem ook gehad op een van onze servers.
Het betrof hier toen een hack via een oudere versie van Cacti. De server werd toen inderdaad gebruikt als ftp server voor films/muziek/games.

Kijk ook eens of er verborgen mappen in de map /var/www/html/ staan ofzo

[Julian]

Even tussendoor: als ik op uw website op een van uw pakketten klik wordt ik doorgestuurd naar de homepage.

[pentabase]

Ja, dat klopt. ik moet nog met mijn website bezig, maar vanwege drukte op dit moment heb ik daar even geen tijd voor. ik krijg ook een nieuwe huisstijl, dus het ligt beetje stil. maar als je vragen hebt kan je mij altijd mailen.

[sdetroch]

De oorzaak kan ik natuurlijk niet achterhalen, maar allicht is het handig onderstaand commando eens uit te voeren als je dat nog niet gedaan hebt (toont u alle bestanden groter dan 20MB bijvoorbeeld). Films e.d. komen zo al snel naar boven (en kan in andere gevallen ook helpen om diskspace vrij te krijgen) en heeft hier al een paar keer goed gediend. Enfin, ben jij er niets mee, iemand anders misschien wel?

find / -type f -size +20000k -exec ls -lh {} \; | awk '{ print $9 ": " $5 }'

[pentabase]

Het commando kan zekers handig zijn. Ik zal er zeker een keer mee experimenteren. voorlopig ben ik nog wel even zoet.