Onderwerp: Httpd (apache) crashed

Geen rootkits oid kunnen vinden. Wat dingetjes aangepast en beveiligd. We wachten het even af nu.

Maar draait er ook outdated "software" op ?

Oorspronkelijk geplaatst door mikeh

Dat is de alom bekende "suckit" kit, die wordt al sinds '98 gebruikt
Als het goed is heb je dan ook nog een ssh-backdoor op een vage poort als 4343 zitten.

Chattr'en doen alle rootkits. Die is het niet.

zie error log.

==> SIZE m ... 11109
==> PASV ... done. ==> RETR m ... done.
Length: 11109 (11K)
0K .......... 100% 124K=0.09s
18:57:07 (124 KB/s) - `m' saved [11109]
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
[Wed Nov 04 19:12:58 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:58 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
[Wed Nov 04 19:12:59 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:59 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
Empty input file
Empty input file
Empty input file
Empty input file
Empty input file
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/pma
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/admin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/dbadmin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/mysql
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/php-my-admin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/myadmin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/PHPMYADMIN
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/p
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Thu Nov 05 00:19:01 2009] [notice] caught SIGTERM, shutting down

Oorspronkelijk geplaatst door ereemst

zie error log.

==> SIZE m ... 11109
==> PASV ... done. ==> RETR m ... done.
Length: 11109 (11K)
0K .......... 100% 124K=0.09s
18:57:07 (124 KB/s) - `m' saved [11109]
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
sh: sysctl: command not found
[Wed Nov 04 19:12:58 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:58 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
[Wed Nov 04 19:12:59 2009] [crit] [client 83.246.103.130] (13)Permission denied: /var/www/html/phpMyAdmin/scripts/.htaccess pcfg_openfile: unable to check htaccess file, ensure it is readable
[Wed Nov 04 19:12:59 2009] [error] [client 83.246.103.130] File does not exist: /var/www/html/403.shtml
Empty input file
Empty input file
Empty input file
Empty input file
Empty input file
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:38 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/pma
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/admin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/dbadmin
[Wed Nov 04 23:45:39 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/mysql
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/php-my-admin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/myadmin
[Wed Nov 04 23:45:40 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/PHPMYADMIN
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/phpMyAdmin/config
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/p
[Wed Nov 04 23:45:41 2009] [error] [client 72.51.34.140] File does not exist: /var/www/html/404.shtml
[Thu Nov 05 00:19:01 2009] [notice] caught SIGTERM, shutting down

Dit stukje log zegt eigenlijk niks. Wat is nu het probleem?
Als ik me geld ergens op moet inzetten zou ik zeggen dat iets een perl scriptje 'm' probeert te downloaden, dit execute maar dat het commando sysctl niet gevonden kan worden. De errors daaronder hebben er verder niets mee te maken

Probleem is dat je apache niet kan herstarten omdat poort 80 in gebruik is?

hoe los ik dat nu op dan?

Oorspronkelijk geplaatst door ereemst

hoe los ik dat nu op dan?

Probeer eerst eens wat dangerous php functies te disablen.
Even zoek naar "disable_functions" binnen php.ini, en changen in:

disable_functions = dl,system,exec,passthru,shell_exec

Apache naderhand wel even een reboot geven.

kan ik gewoon DA reboten om het op te lossen?

normaal heb ik Randy maar hij is niet bereikbaar.. (maft nog denk ik)

Oorspronkelijk geplaatst door ereemst

hoe los ik dat nu op dan?

Er zijn ontelbaar hoeveel manieren dat een perl scriptje binnen kan komen, de meest voorkomende checks:

- is /tmp met noexec gemount?
- staan er bestanden in /tmp die er niet horen?
- controleer de apache logs (error en access log) of er rare dingen in staan die met downloaden van bestanden te maken heeft
- controleer de apache logs van de domeinen op hetzelfde
- controleer de FTP logs of er *.pl bestanden worden geupload en binnen 2 seconden weer verwijderen worden (zoja, dan even wachtwoord van die gebruiker resetten).

Succes dermee Het kan best een aantal dagen duren voor je het definitief hebt opgelost (of meteen de 1e keer als je mazzel hebt).

Oorspronkelijk geplaatst door ereemst

kan ik gewoon DA reboten om het op te lossen?

normaal heb ik Randy maar hij is niet bereikbaar.. (maft nog denk ik)

Is je apache nu nog niet bereikbaar dan?

killall -9 perl
service httpd restart

Kijk eens of het dan is opgelost (hoop niet voor je dat er legitieme perl processen draaien, maar dat zal je zelf wel weten).

(misschien toch maar een fallback systeembeheerder nemen? )

Oorspronkelijk geplaatst door DutchTSE

Dit stukje log zegt eigenlijk niks. Wat is nu het probleem?
Als ik me geld ergens op moet inzetten zou ik zeggen dat iets een perl scriptje 'm' probeert te downloaden, dit execute maar dat het commando sysctl niet gevonden kan worden. De errors daaronder hebben er verder niets mee te maken

Probleem is dat je apache niet kan herstarten omdat poort 80 in gebruik is?

Dit stukje log zegt precies wat je nodig hebt om te begrijpen wat er gebeurt icm met de vorige stukjes die hij al had gepost.

Er draait gewoon een domeintje waar dmv een xss exploit een shelletje wordt gedownload via wget (de "m" file) deze zal worden geexecute en zal netjes voorzien in een shelletje. De output hiervan komt gedeeltelijk terug in de log. Waarschijnlijk probeert het shelletje op poort 80 te draaien en zodra dit gelukt is is je apache niet meer bereikbaar. Of er wordt een 2e process gestart die poort 80 bezet houd (denk aan irc botjes, spam scripjes ed).


probeer eens:

netstat -ltnup |grep ':80'

Als het weer gebeurt.. Output hiervan zal trouwens alleen bruikbaar zijn indien netstat niet is vervangen..

Grote kans dat er een proces onder de userid van apache draait. Als je die killed kan apache weer draaien.

Beste wat je kun doen is logs van al je domeinen controleren op waar ze proberen binnen te komen..

Ook mod_ruid installeren is een hele goede, dan zal het proces niet meer onder apache (www-data) draaien maar onder de userid van de uploader.. Maar hoe dat samen met DA moet durf ik je niet te zeggen... Misschien hebben andere daar meer ervaring mee.

Oorspronkelijk geplaatst door Japje

Dit stukje log zegt precies wat je nodig hebt om te begrijpen wat er gebeurt icm met de vorige stukjes die hij al had gepost.

Dat was precies waar ik me geld op inzetten, echter is de log net te laat gekopieerd, want het stukje erboven mist nog

wie wil dit tegen vergoeding even oppakken

bel maar op 0229-260080

Randy reageert altijd netjes binnen 4 uur. Nu zat ik in een lezing en stond het geluid even uit. Inmiddels alles opgelost. Dank allen.

edit: verkeerde topic

Oorspronkelijk geplaatst door Randy

Dank allen.

Geen dank! doe maar een lekker biertje!