Afdrukvoorbeeld
tsjek ook ff of het wel allemaal outbound was, het kan ook zijn dat je stats vooral inkomend verkeer of zelfs broadcast meet. Je hebt dan slechts netjes in kaart gebracht wat de omvang van de ddos bij i3d was, zonder daar verder zelf aan deel te nemen. Zou niet voor het eerst zijn dat iemand zijn server ondersteboven keert om uit te zoeken wat nu het probleem is, terwijl het slechts verkeerde parameters zijn die gemeten worden
?? Wat bedoel je hiermee.Citaat:
Oorspronkelijk geplaatst door Lite-On
Het is (ifconfig) outbound.
Als ik bij de stats van I3D gaat kijken is het Incoming. Maar dit is (imo) logisch te verklaren als hun van hun routers uitgaan...
Ik heb nog geen bericht van Randy.
Klopt; incoming vanuit de switch gezien (dus van server naar switch).Citaat:
Oorspronkelijk geplaatst door arjenlodder
Een server binnen ons netwerk was doelwit.Citaat:
Oorspronkelijk geplaatst door arjenlodder
:o
Tja, kan alleen maar zeggen dat het me spijt...
Wist het zelf namelijk ook niet... En waar zijn 'jullie' van? Waarom zouden 'jullie' aangevallen moeten worden?
Zal best maar er hebben toch heel wat meer systemen last van gehad.:)Citaat:
Een server binnen ons netwerk was doelwit.
Ben benieuwd wat Randy gevonden heeft. Al doende leert men...
Heb ik gezegd dat hij de enigste was? ;-)Citaat:
Oorspronkelijk geplaatst door Blacky
Was een grote groep sources, allemaal servers welke waarschijnlijk op dezelfde manier infected (bots) waren.
Ik heb nog niets gehoord van Randy, wel heb ik hem netjes een mail met de gegevens gestuurd.
Mocht ik nog iets horen hou ik jullie op de hoogte ;)
Het is trouwens nog steeds aan de gang. 266GB vandaag weer :S
Randy is een drukke man, geef hem even tijd en hij fixt het (lees: heeft het al gedaan als ik het goed lees op de twitter :-) of dat was een ander :-) )Citaat:
Oorspronkelijk geplaatst door arjenlodder
Ik denk niet dat dat mijn server was.
Vandaag heb ik er namelijk weer last van. Gister echter niet.
Het is ook elke keer op een ander tijdstip, dus een cronjob zal het niet zijn.
Ik sta voor een raadsel.
Het is een bot die gewoon op de achtergrond meedraait. Die uitzetten en verwijderen en je probleem is verholpen. Moet je alleen er nog achter zien te komen hoe deze uberhaupt op je server is gekomen.Citaat:
Oorspronkelijk geplaatst door arjenlodder
Beginnen met alles te blocken en dan één voor één een port/service toe te laten.
Maar deze 'bot' is nergens te vinden.Citaat:
Oorspronkelijk geplaatst door Piwi-Web
Waar ik wel achter ben gekomen is dat het via Apache2 draait.
Als apache2 stop word gezet is het over. Dus hier zal iets inzitten.
Apache2 logging aanzetten dus, en eens kijken wat er allemaal overheen gaat.
Mod_Status aanzetten:
http://httpd.apache.org/docs/2.0/mod/mod_status.html
krijg je dit soort output:
http://httpd.apache.org/server-status
Als zoiets gaande is: registreer wat er gebeurt op je server.
Onmisbare tools:
- iptraf
- netstat
Sluit niet uit dat je netstat binary is overschreven door een andere, dus het loont om de net-tools RPM te herïnstalleren (netstat zit in net-tools).
netstat -lnp geeft dan een mooi overzicht van de daemons die draaien. Als je een botje op je server hebt staan, dan zou die op een bepaalde port moeten luisteren.
Overigens geldt eigenlijk in dit soort gevallen: server compromised = reïnstall. Je weet nooit wat er allemaal is gebeurd en wat er is gewijzigd op je server. Als er ergens een lek zit, dan zit het er nog steeds. Botje vinden en uitschakelen is dan niet meer dan een paracetamolletje tegen de migraine.