Onderwerp: Grote problemen (gehackt?)

Laatst een hacker die wat indexen had vervangen op websites, nu opeens zo'n beetje hele websites weg...

Het is een hobbyserver en gelukkig heb ik een volledige backup maar dit is super irritant natuurlijk. Van heel veel sites is alles weg, van een aantal alleen de bestanden in de root en sommige mappen.

Ik heb gekeken in /var/log/auth.log en kom dit tegen:

Code:

May 13 07:35:15 server su[25717]: Successful su for nobody by root
May 13 07:35:15 server su[25717]: + ??? root:nobody
May 13 07:35:15 server su[25717]: (pam_unix) session opened for user nobody by (uid=0)
May 13 07:35:15 server su[25717]: (pam_unix) session closed for user nobody
May 13 07:35:15 server su[25719]: Successful su for nobody by root
May 13 07:35:15 server su[25719]: + ??? root:nobody
May 13 07:35:15 server su[25719]: (pam_unix) session opened for user nobody by (uid=0)
May 13 07:35:15 server su[25719]: (pam_unix) session closed for user nobody
May 13 07:35:15 server su[25721]: Successful su for nobody by root
May 13 07:35:15 server su[25721]: + ??? root:nobody
May 13 07:35:15 server su[25721]: (pam_unix) session opened for user nobody by (uid=0)
May 13 07:36:15 server su[25721]: (pam_unix) session closed for user nobody

Lijkt me niet goed?
Wat kan ik doen? Waar moet ik zoeken? Zo ver gaat mijn kennis van Linux niet, niet op dit niveau dus alle hulp is zeer welkom.
Welke log bestanden moet ik nakijken? Waar moet ik op letten? Kan ik achterhalen vanaf welk IP dit komt? Hoe beveilig ik de boel beter?

Ik zie ook veel van deze regels met CRON en een nummer in auth.log:

Code:

May 13 17:30:01 server CRON[11263]: (pam_unix) session opened for user root by (uid=0)
May 13 17:30:01 server CRON[11263]: (pam_unix) session closed for user root
May 13 17:39:01 server CRON[11598]: (pam_unix) session opened for user root by (uid=0)
May 13 17:39:01 server CRON[11598]: (pam_unix) session closed for user root
May 13 18:00:01 server CRON[12174]: (pam_unix) session opened for user root by (uid=0)
May 13 18:00:01 server CRON[12174]: (pam_unix) session closed for user root
May 13 18:09:01 server CRON[12417]: (pam_unix) session opened for user root by (uid=0)
May 13 18:09:02 server CRON[12417]: (pam_unix) session closed for user root
May 13 18:17:01 server CRON[12748]: (pam_unix) session opened for user root by (uid=0)
May 13 18:17:01 server CRON[12748]: (pam_unix) session closed for user root
May 13 18:30:01 server CRON[13186]: (pam_unix) session opened for user root by (uid=0)
May 13 18:30:01 server CRON[13186]: (pam_unix) session closed for user root
May 13 18:39:01 server CRON[13385]: (pam_unix) session opened for user root by (uid=0)
May 13 18:39:01 server CRON[13385]: (pam_unix) session closed for user root
May 13 19:00:01 server CRON[14020]: (pam_unix) session opened for user root by (uid=0)
May 13 19:00:01 server CRON[14020]: (pam_unix) session closed for user root
May 13 19:09:01 server CRON[14258]: (pam_unix) session opened for user root by (uid=0)
May 13 19:09:01 server CRON[14258]: (pam_unix) session closed for user root
May 13 19:17:01 server CRON[14508]: (pam_unix) session opened for user root by (uid=0)
May 13 19:17:02 server CRON[14508]: (pam_unix) session closed for user root
May 13 19:30:01 server CRON[14833]: (pam_unix) session opened for user root by (uid=0)
May 13 19:30:01 server CRON[14833]: (pam_unix) session closed for user root
May 13 19:39:01 server CRON[15061]: (pam_unix) session opened for user root by (uid=0)
May 13 19:39:01 server CRON[15061]: (pam_unix) session closed for user root
May 13 20:00:01 server CRON[15599]: (pam_unix) session opened for user root by (uid=0)
May 13 20:00:01 server CRON[15599]: (pam_unix) session closed for user root
May 13 20:09:01 server CRON[15810]: (pam_unix) session opened for user root by (uid=0)
May 13 20:09:01 server CRON[15810]: (pam_unix) session closed for user root
May 13 20:17:01 server CRON[16036]: (pam_unix) session opened for user root by (uid=0)
May 13 20:17:01 server CRON[16036]: (pam_unix) session closed for user root

Ik draai Debian etch (4.0) en ISPConfig.

Om te beginnen ispconfig eens uitzetten. Deze vanuit de shell startten enkel wanneer die nodig is. Veelal zitten hier problemen in, zeker als je verdie niet ui2date is.

Oorspronkelijk geplaatst door Randy

Om te beginnen ispconfig eens uitzetten. Deze vanuit de shell startten enkel wanneer die nodig is. Veelal zitten hier problemen in, zeker als je verdie niet ui2date is.

Er zijn meer mensen die ISPConfig gebruiken naast ikzelf, dus uitzetten is geen optie.
Ik lees ook iets over SSH, moet ik dat beter beveiligen? (bijvoorbeeld alleen kunnen inloggen via 1 IP, kan dat?)

Dat kan zeker. Zijn vele mogelijkheden voor

Oorspronkelijk geplaatst door iric

Er zijn meer mensen die ISPConfig gebruiken naast ikzelf, dus uitzetten is geen optie.
Ik lees ook iets over SSH, moet ik dat beter beveiligen? (bijvoorbeeld alleen kunnen inloggen via 1 IP, kan dat?)

Doe nu maar (tijdelijk) even en houd dan je log in de gaten. Dan weet je in ieder geval waar de oorzaak van je probleem zit...

is de software up-to-date? wordt er gebruik gemaakt van een firewall? Er kunnen zoveel factoren debet zijn aan dit 'probleem', dat dit zo vanaf een afstand moeilijk precies in te schatten is.

(Eventueel kan TS contact met ons opnemen voor wat consultancy, dat wij de machine nakijken en/of een beetje dichttimmeren, iets wat meerdere partijen hier waarschijnlijk wel aan kunnen bieden)

Met vriendelijke groet,

Vince van Domburg
SysTech Media

Oorspronkelijk geplaatst door VinceSTM

is de software up-to-date? wordt er gebruik gemaakt van een firewall? Er kunnen zoveel factoren debet zijn aan dit 'probleem', dat dit zo vanaf een afstand moeilijk precies in te schatten is.

(Eventueel kan TS contact met ons opnemen voor wat consultancy, dat wij de machine nakijken en/of een beetje dichttimmeren, iets wat meerdere partijen hier waarschijnlijk wel aan kunnen bieden)

Met vriendelijke groet,

Vince van Domburg
SysTech Media

Het is een hobbyserver, dus het mag niets kosten Daarom doe ik ook alles zelf en tot nu toe was het allemaal nog niet zo erg. Nu wel...

Het stomste is dat poort 22 waar ssh op draaide nooit open heeft gestaan op de router. Ik heb SSH nu op een andere poort draaien.

Oorspronkelijk geplaatst door iric

Het is een hobbyserver, dus het mag niets kosten Daarom doe ik ook alles zelf en tot nu toe was het allemaal nog niet zo erg. Nu wel...

Het stomste is dat poort 22 waar ssh op draaide nooit open heeft gestaan op de router. Ik heb SSH nu op een andere poort draaien.

Maar ISPConfig is zo lek als een mandje met de standaard instellingen.

Oorspronkelijk geplaatst door Randy

Maar ISPConfig is zo lek als een mandje met de standaard instellingen.

Hoe moet ik deze dan beveiligen? Of heb je tips voor een beter (gratis!) hostingpanel?

de cron meldingen mag je in ieder geval vergeten...

Verder kun je beginnen met su te disablen voor normale users, en deze enkel beschikbaar stellen voor certain users of group. Hetzelfde geld eventueel voor sudo.

Oorspronkelijk geplaatst door iric

Het is een hobbyserver, dus het mag niets kosten

Niet bazelen... je wil niet weten wat voor een kosten je kunt krijgen als en hacker vrolijk een maandje gaat spammen vanaf je bak.
Als het geen geld mag kosten dan gaat het je gewoon veel tijd kosten met beveiligen etc.
In principe moet je een gehackte bak gewoon van het netwerk afsluiten natuurlijk. Als je dat niet doet kun je zelf strafbaar zijn aan het verlenen van medewerking aangezien je op de hoogte bent.

Of je echt gehacked bent of dat iemand op dat ding wat enthousiast opruiming gehouden heeft, weet je zelf natuurlijk het beste. Het is jouw server, maar een 'su' van nobody naar root is inderdaad niet iets om vrolijk van te worden. Je zou de crontab eens moeten checken naar dingen die elke minuut draaien, eventueel kijken of je /etc/passwd veranderd... kans dat je tripwire hebt draaien zal wel niet groot zijn, he ?

Succes iig.

Oorspronkelijk geplaatst door systemdeveloper

Niet bazelen... je wil niet weten wat voor een kosten je kunt krijgen als en hacker vrolijk een maandje gaat spammen vanaf je bak.
Als het geen geld mag kosten dan gaat het je gewoon veel tijd kosten met beveiligen etc.
In principe moet je een gehackte bak gewoon van het netwerk afsluiten natuurlijk. Als je dat niet doet kun je zelf strafbaar zijn aan het verlenen van medewerking aangezien je op de hoogte bent.
Of je echt gehacked bent of dat iemand op dat ding wat enthousiast opruiming gehouden heeft, weet je zelf natuurlijk het beste. Het is jouw server, maar een 'su' van nobody naar root is inderdaad niet iets om vrolijk van te worden. Je zou de crontab eens moeten checken naar dingen die elke minuut draaien, eventueel kijken of je /etc/passwd veranderd... kans dat je tripwire hebt draaien zal wel niet groot zijn, he ?

Succes iig.

dat is een beetje overdreven. Je bent pas strafbaar als je willens en wetens niets doet om strafbare feiten tegen te gaan. Hij weet er inderdaad van maar dat hij niets doet om strafbare feiten te voorkomen is niet waar. Het aanmaken van dit topic zegt al veel.

Oorspronkelijk geplaatst door oehTie

dat is een beetje overdreven. Je bent pas strafbaar als je willens en wetens niets doet om strafbare feiten tegen te gaan. Hij weet er inderdaad van maar dat hij niets doet om strafbare feiten te voorkomen is niet waar. Het aanmaken van dit topic zegt al veel.

Denk je echt dat wanneer je server 1000 mails per minuut staat te pompen (is maar voorbeeld hoor) of gebruikt wordt om andere servers te hacken, dat je er vanaf komt met het aanmaken van een topic op een forum en te roepen dat offline halen geen optie is en dat het niks mag kosten ? Right...

Ze hebben ook mijn vhosts en httpd.conf leeggehaald, gelukkig heb ik een databackup van laat in de middag en heb ik dagelijkse MySQL backups.

Ik kom er zo niet meer uit dus ik ga volledig herinstalleren. Welk control panel kan ik het beste gebruiken? Uiteraard wel een gratis control panel. Ik ben wat aan het zoeken geweest maar ben nog niet echt iets tegengekomen.

directadmin is niet gratis, maar wel redelijk goedkoop met de huidige dollarkoers. Uiteindelijk zal dat wat hogere initiele kosten met zich meebrengen, maar 2 uur knutselen aan je server kost meer.