Onderwerp: service httpd kapt ermee, wil niet herstarten omdat poort bezet is

tijd voor een mod_ruid/suphp toevoeging aan je apache, wat mooie php flag instellingen voor bv url_include en eens goed kijken voor een iptables firewall.. kom je denk ik al een eindje mee

Oorspronkelijk geplaatst door phreak

Code:

cd / 
find ./ -type f -name 'mech*' -exec rm -f {} \;

Hmm, lijkt me niet handig om alles met mech* weg te gooien waaronder al die dovecot dingen en /usr/include/gssapi/mechglue.h

Dat commando zou ik zeker niet zo uitvoeren. Alle bestanden beginnend met "mech" worden zo verwijderd zonder dat je vantevoren weet welk.
Dus ook :

Code:

/usr/share/doc/cyrus-sasl-lib-2.1.22/mechanisms.html

Lijkt me toch een gangbaar bestand dat moet blijven bestaan.
Sowieso zou ik aanraden om op zulke bestanden een "chown root.root" en "chmod 0" uit te voeren. De bestanden blijven dan te raadplagen maar kunnen niet worden uitgevoerd.

Oorspronkelijk geplaatst door dreamhost_nl

Sowieso zou ik aanraden om op zulke bestanden een "chown root.root" en "chmod 0" uit te voeren. De bestanden blijven dan te raadplagen maar kunnen niet worden uitgevoerd.

Je kunt beter moeite steken in het voorkomen dat ze er op komen te staan.. als ik de uploader was zou ik ze de volgende keer ergens anders neerzetten

Zo klaar als een klontje; IRC Botje, server niet tot niet goed beveiligd. Dit is echt wel een beetje de basis van beveiliging waar we over praten hoor.

Indien je daar zelf niet de know-how voor hebt zou je misschien eens kunnen kijken naar een secuirity audit door een derde partij zodat je ook in de toekomst en misschien op meerdere van je servers hiermee geen ge-emmer krijgt in de toekomst.

misschien die poorten blocken in je firewall.

6667 is duidelijk een IRC poort

Bestond /home/null al voordat je dit ondekte ?

Begin eens met wat functies te disablen in PHP, zoals bijvoorbeeld: show_source, system, shell_exec, passthru, exec, proc_open.
Eventueel kun je CSF als firewall installeren. Deze heeft een security audit die je aardig op weg zal helpen met allerlei instellingen. Verder moet je zeker geen mod_php gebruiken en alles en iedereen onder apache:apache draaien. PHP via CGI met suPHP is het makkelijkste voor DA doosjes. mod_ruid (en dan een actuele variant) is nog beter.

Oorspronkelijk geplaatst door bami82

Hmm, lijkt me niet handig om alles met mech* weg te gooien waaronder al die dovecot dingen en /usr/include/gssapi/mechglue.h

Was een voobeeld..

Oorspronkelijk geplaatst door Randy

Verder moet je zeker geen mod_php gebruiken en alles en iedereen onder apache:apache draaien. PHP via CGI met suPHP is het makkelijkste voor DA doosjes. mod_ruid (en dan een actuele variant) is nog beter.

mod_ruid kan gewoon met mod_php, heb je niet die vertraging erin zitten van de CGI binary.

Verder zou ik eens kijken waar het lek zit. Grote kans dat het een lek in 1 van de websites is, dan zou ik achter de klant aan gaan zitten om het lek te fixen (mogelijk is het standaard software waar updates voor zijn).

Als je de bestanden verwijderd en je een beetje geluk hebt, komt de 'hacker' terug. Heb je dan mod_ruid draaien ben je er zo achter wat het lek veroorzaakt.

Oorspronkelijk geplaatst door Dirkje

Doe /var/tmp dan ook maar meteen Maar zorg er ook zeker voor dat je niet een clean apxs PHP draait maar wel wat beveiliging toepast (php-cgi, suphp, mod_security, fastcgi... je kan het zo gek maken als je wilt).

Knikt nee.
/var/tmp zou ik linken aan /tmp...