Ontzettend vaag Apache probleem

Weet je zeker dat er niet ergens een script op je server draait dat vatbaar is voor een zgn "File Injection Exploit" of zo?
Een voorbeeld is de exploit in My_eGallery voor bv PostNuke en PHP Nuke.

Doe eens "ps ax" en kijk of er geen rare programmaatjes draaien (bijvoorbeeld r0nin, of cgi-txt). Die troep veroorzaakt namelijk soorgelijk gedrag (apache down en niet herstartbaar). Vooral die r0nin is de laatste tijd erg aktief in Nederlandse IP-ranges.
Je kan ze ook vinden door te kijken in je /tmp
Daarin zie je duidelijk deze bestandjes staan met als owner apache.

Zie ook: Zie ook: http://www.nukecops.com/article-1015-nested-0-0.html

Citaat:

---

Origineel geplaatst door nickpick
Weet je zeker dat er niet ergens een script op je server draait dat vatbaar is voor een zgn "File Injection Exploit" of zo?
Een voorbeeld is de exploit in My_eGallery voor bv PostNuke en PHP Nuke.

---

Ik zal eens rond kijken of iemand dergelijk software draait.

Citaat:

---

Doe eens "ps ax" en kijk of er geen rare programmaatjes draaien (bijvoorbeeld r0nin, of cgi-txt). Die troep veroorzaakt namelijk soorgelijk gedrag (apache down en niet herstartbaar). Vooral die r0nin is de laatste tijd erg aktief in Nederlandse IP-ranges.
Je kan ze ook vinden door te kijken in je /tmp
Daarin zie je duidelijk deze bestandjes staan met als owner apache.

---

"ps ax" levert geen onbekende processen op, de /tmp dir ziet er netjes uit zonder enige verdachte files. Ik ga het natuurlijk wel in de gaten houden.

Wat is "r0nin"? (een gebrek aan tijd om dit uit te zoeken doet mij deze vraag stellen)

Via bijv. eGallery kan r0nin worden uitgevoerd, hiermee kunnen ze root toegang krijgen.

Probeer chkrootkit, deze kan r0nin detecteren..

Citaat:

---

Origineel geplaatst door mihosnet
Probeer chkrootkit, deze kan r0nin detecteren..

---

Ik heb chkrootkit-0.42b gedraaid, maar het kwam zo'n beetje hier op neer: "nothing found/not infected" :)

Dus die "r0nin" (wat een worm ik neem ik aan) kan het niet zijn.

En je ziet 'm ook niet in de /tmp map?

Citaat:

---

Origineel geplaatst door mihosnet
En je ziet 'm ook niet in de /tmp map?

---

Nee hoor /tmp ziet er netjes uit... ook andere temp dirs (ivm openbasedir restrictie) zien er prima uit.

het kan ook onder de naam 'friends' zijn verstopt in de map /tmp

Citaat:

---

Origineel geplaatst door mihosnet
het kan ook onder de naam 'friends' zijn verstopt in de map /tmp

---

Nee hoor :) daar staat alleen een hele zooi session files enzo.. nix van dat... maar ik wil het zelf ook wel even uitzoeken, heb je misschien een link met meer info?