Hackpoging?

[colani]

Hieronder een stukje van mijn logfile.
Wat is deze gebruiker aan het doen en waarmee?
Elke seconde min 3 aanvragen, en zo uren aan een stuk door.
Alle mogelijke paden, scripts en stukjes software worden aangeroepen.


[] [error] [client 207.210.96.85] File does not exist: /www/NessusTest1258425803.html
[] [error] [client 207.210.96.85] File does not exist: /www/intruvert
[] [error] [client 207.210.96.85] script not found or unable to stat: D:/xampp/cgi-bin/logbook.pl
[] [error] [client 207.210.96.85] File does not exist: /www/logbook.pl
[] [error] [client 207.210.96.85] File does not exist: /www/intruvert
[] [error] [client 207.210.96.85] File does not exist: /www/unauthenticated
[] [error] [client 207.210.96.85] script not found or unable to stat: D:/xampp/cgi-bin/logbook.pl
[] [error] [client 207.210.96.85] File does not exist: /www/logbook.pl
[] [error] [client 207.210.96.85] File does not exist: /www/NessusTest1463759945.html
[] [error] [client 207.210.96.85] File does not exist: /www/support
[] [error] [client 207.210.96.85] File does not exist: /www/unauthenticated
[] [error] [client 207.210.96.85] File does not exist: /www/readme.txt
[] [error] [client 207.210.96.85] File does not exist: /www/support
[] [error] [client 207.210.96.85] File does not exist: /www/readme.txt
[] [error] [client 207.210.96.85] File does not exist: /www/support
[] [error] [client 207.210.96.85] File does not exist: /www/login.html
[] [error] [client 207.210.96.85] File does not exist: /www/MSWSMTP
[] [error] [client 207.210.96.85] File does not exist: /www/getdetails
[] [error] [client 207.210.96.85] File does not exist: /www/MSWSMTP
[] [error] [client 207.210.96.85] File does not exist: /www/login.html
[] [error] [client 207.210.96.85] File does not exist: /www/readme.txt
[] [error] [client 207.210.96.85] File does not exist: /www/commoncgi
[] [error] [client 207.210.96.85] File does not exist: /www/login.html
[] [error] [client 207.210.96.85] File does not exist: /www/commoncgi
[] [error] [client 207.210.96.85] File does not exist: /www/getdetails
[] [error] [client 207.210.96.85] File does not exist: /www/ControlManager
[] [error] [client 207.210.96.85] File does not exist: /www/MSWSMTP

Heb deze maar even geblockt.

Nog een ander opmerkelijk voorval, ftplog gaf elke dag een aantal meldingen dat iemand wilde aanmelden met een gebruikersnaam die ik op meerdere en dus ook op dit forum gebruik, en dus ook met dat wachtwoord, komen elke keer van het GPRS netwerk van KPN, 62.133.96.0 t/m 63.133.127.255 stukjes log naar abuse-mobile@kpn.nl verzonden, niets meer van gehoord, pogingen gaan gewoon door. Nu kan ik die hele range gaan blokken, maar dat schiet niet echt op denk ik.

[ichosting]

Hier wordt denk ik inderdaad gezocht naar lekke scripts.

Is het aanmelden met wachtwoord gelukt of worden er pogingen gedaan het wachtwoord te achterhalen?

[colani]

Ze proberen met mijn inlognaam die op het web gebruik in te loggen, daarbij zijn dus ook wachtwoorden die ik op het web gebruik voorbij gekomen.
Dit is ook gemeld aan kpn, maar die reageren niet.
Het blijft bij raden, die inlognaam voor de ftp server bestaat niet eens.

[RichardVD]

Ip-adres blokkeren op de server en als je geen schade hebt geleden verder niets aan doen, er zal toch niets mee gedaan worden.

[cyrano]

Dat is Wormly, een gratis online Nessus scanner, zie:

http://www.wormly.com/web_server_security_scan

Maar normaal doet die dat alleen als je toestemming geeft door een bestand met een bepaalde naam te uploaden naar je site. Misschien moet je dus intern eens kijken wie je ftp paswoordzou kunnen geraden hebben of gezien?

Eventueel bij Wormly aantonen dat je eigenaar van je domein bent en navragen naar welk email adres het rapport gestuurd is?

[mikeh]

$ host 207.210.96.85
85.96.210.207.in-addr.arpa domain name pointer node3.wormly.com.


To receive this scan, you must verify your ownership of the website in question by creating the verification file.

Upload a file called wormlyscan20090325.txt to the root directory of your website, and make sure it contains the text "wormly".

'k zou het probleem gaan zoeken bij 1 van je users

find / -name wormly*

mocht je dan nog niks vinden check ff hun .bash_history op wormscan* (grep wormscan /home/*/.bash_history)

good luck.