Remote exploit Plesk API

We removed the agent.php from all Plesk servers but one. This server that did not have the agent.php removed was patched to the latest level. The Plesk scripts confirmed this, and manually checking the file also confirmed this. All passwords have been reset after the Plesk patch was run. However this server was running some DDOS scripts again.

I don't think the Plesk patch fully fixes the vulnerability. To be sure just remove the agent.php file.

Hier laatst alle wachtwoorden gewijzigd, helaas te laat.
Mijn collega heeft alle files e.d. weer hersteld en hij was schoon.
Ik heb de patches geïnstalleerd (waar we er van overtuigd waren dat alles up-to-date was, maar helaas). Ook maar even "cat /dev/null > $padnaam/Agent.php" uitgevoerd.
Daarna het IP-adres dat ook in de OP (of in het andere topic, not sure) én in ons log voorkwam, op de blacklist gegooid (Dat is het IP-adres uit Oekraine afkomstig is). Weten jullie of er nog meer IP-adressen zijn die gerelateerd zijn aan deze ellende?

Voor de zekerheid hebben we een scriptje elke 2 uur draaien dat in de /var/www/ directory controleert op de aanwezigheid van "function init(){var f=navigator.userAgent;var a=false;if".
En na afloop van de zoektocht, krijg je keurig een mailtje in je inbox.
Zojuist dan toch een mailtje gehad waar in 2 bestanden de "function init(){var f=navigator.userAgent;var a=false;if" code werd aangetroffen, terwijl de wachtwoorden gewijzigd waren.
Voor alsnog is het ons onduidelijk hoe dit heeft kunnen gebeuren, logfiles laten bijzonder weinig zien qua inlogpogingen. Tijd voor een goede pot koffie ;).

Hou het dus nog even de gaten!

Citaat:

---

Oorspronkelijk geplaatst door magentohosting

Voor de zekerheid hebben we een scriptje elke 2 uur draaien dat in de /var/www/ directory controleert op de aanwezigheid van "function init(){var f=navigator.userAgent;var a=false;if".
En na afloop van de zoektocht, krijg je keurig een mailtje in je inbox.

---

Misschien kan je dat scriptje delen. :)

Citaat:

---

Oorspronkelijk geplaatst door GlobalServe

Misschien kan je dat scriptje delen. :)

---

Het is niet veel bijzonders, maar hier is die:

#!/bin/sh
grep -lir "function init(){var f=navigator.userAgent;var a=false;if" /var/www/* | mail -s "Exploit test output" <je e-mail-adres>

Eventjes in een .sh bestand opslaan, chmod +x eroverheen en in een cronjob:
* */2 * * * <locatie>/<script>.sh

Je script geeft wel een ontzettende overhead op io's. Je kan ook doel gerichter zoeken:

Code:

---

grep -lir "function init(){var f=navigator.userAgent;var a=false;if" `find /var/www/vhosts/ -iname "*.js"`

---

Citaat:

---

Oorspronkelijk geplaatst door Mikey

Je script geeft wel een ontzettende overhead op io's. Je kan ook doel gerichter zoeken:

Code:

---

grep -lir "function init(){var f=navigator.userAgent;var a=false;if" `find /var/www/vhosts/ -iname "*.js"`

---

---

Ja klopt, het was meer een script wat we in 'the heat of the moment' hebben geboren. Voor ons werkte het goed, we hebben relatief rustige servers dus daar kon het prima op.
Ik neem i.i.g. het script van jou over. Bedankt ervoor!

Citaat:

---

Oorspronkelijk geplaatst door Mikey

Je script geeft wel een ontzettende overhead op io's. Je kan ook doel gerichter zoeken:

Code:

---

grep -lir "function init(){var f=navigator.userAgent;var a=false;if" `find /var/www/vhosts/ -iname "*.js"`

---

---

Voor de mensen die dit ook willen gebruiken, houdt er wel rekening mee dat er nu alleen in .js-files wordt gekeken.
Het is ook mogelijk dat er in andere bestanden dit stukje js in <script>-tags wordt geplaatst.

dubbel post..

En daar gaat ie weer.......

Hostnet:
http://tweakers.net/nieuws/80568/ple...n-hostnet.html
http://www.nu.nl/internet/2759524/in...medium=twitter

"Beetje" dom als je nu nog steeds je zaakjes niet voor elkaar hebt........

Het artikel hanteert over hacks die al in januari zijn uit gevoerd via het lek. Toen was het echter, voor zover ik heb begrepen, nog niet bekend dat de micro updates een security patch bevatten die niet automatisch werd geïnstalleerd. Ik moet zeggen dat ik de impact eerlijk gezegd wel vindt meevallen. Maar wat niet is kan natuurlijk altijd komen. Wellicht dat Parallels dit daarom zo stilzwijgend voorbij heeft laten gaan? Wie het weet mag het zeggen.

En er zullen waarschijnlijk nog wel een paar volgen, wat ik in deze wel jammer vindt is dat de ISP's door het slijk gehaald worden en dat parallels plesk zelf buiten schot blijft. Het is net alsof de isp verantwoordelijk zijn omdat hun unmanaged klanten hun servers niet up-to-date houden etc.

vandaag een mailtje van parallels..

Citaat:

---

Please read this message in its entirely and take the recommended actions.
On February 9, we notified you of a security vulnerability in some older versions of Parallels Plesk Panel (see below). In that notification, we recommended updating to one of several versions of Plesk where this vulnerability had already been patched. We sent a reminder e-mail on February 21.
This notification is just another reminder. If you have already applied the recommended update or were already running an up-to-date version, no further action is required.
(...)
Please follow our Knowledge Base article for instructions to install these patches: http://kb.parallels.com/en/113321

---

Wie heeft er op 9 feb en op 21 feb mails ontvangen??

Yes die heb ik ontvangen, ik had hem alleen graag ten tijde van de lancering van de patch willen zien (die was iig eerder 22 september)

Citaat:

---

Oorspronkelijk geplaatst door dreamhost_nl

Wellicht dat Parallels dit daarom zo stilzwijgend voorbij heeft laten gaan? Wie het weet mag het zeggen.

---

Omdat dit zo'n "brakke" partij aan het worden is..........

...of eerder bang voor schadeclaims... als je geen schuld erkent zal het vast wel overwaaien wordt waarschijnlijk gedacht.