Onderwerp: Server hacked.

Tja, daar ligt dus nog een probleem.
Plesk werkt niet meer :')

Geprobeerd opnieuw te installeren enzo, maar nog geen geluk.
Maar ik ben ermee bezig.

Net was het weer zover, 12MB/s outbound.
IP Opgezocht: 80.89.138.4
Deze geblocked via IP-Tables en het was weg.

1) beheerder die niet van linux kent, maar wel hosting aanbiedt aan klanten
2) de raad werd al lang geleden om de sites af te zetten en een voor een aan te zetten
3) voor enkele tientallen euro's kan iemand met kennis dit fixen op korte termijn, geen budget voor, tja, dan is het op de blaren zitten zeker (ik hoop dat de traffiek niet zal moeten worden betaald, want dat zal veel duurder zijn dan iemand met kennis er laten naar kijken)
4) Om dan toch een tip te geven, installeer een netwerksniffer en kijk eens wat er allemaal over de netwerkpoort passeert, met een beetje geluk kan je daar ook wel iets zien wat een lichtje doet branden. Kan mij eigenlijk moeilijk voorstellen dat er op de server zo snel snel niets te zien is qua malafide bestanden (even zoeken op bestanden die aangemaakt zijn op de dag (of de week voorheen) voor de problemen begonnen) ... met htop en strace kan je eventueel ook wel wat vinden (zie google voor meer uitleg over bovenstaande zaken)

Ik vul mijn vorige post nog maar eens aan:

Installeer suPHP en suexec en houd in hemelsnaam op met het draaien van scripts onder 'nobody' / 'apache' / 'een of andere gedeelde user', want dit slaat zo helemaal nergens op.

Als je al zo lang bezig bent met het zoeken naar een vervelend scriptje dat UDP/syn/TCP floods genereert, dan heb je totaal geen idee wat er op je server gebeurt.

Ik ben niet tegen amateurs die gaan pielen en spelenderwijs leren, maar dat station zijn we wel gepasseerd als je server anderen loopt te flooden en jij laconiek meldt dat je Plesk paneeltje stuk is.

Oh en als je dacht dat het verstandig is om het zonder de betaalde hulp van buitenaf te doen, wacht maar tot de rekening op de mat valt voor je dataverkeer. Weet niet wat I3D je rekent, maar een mbit traffic gaat je toch minimaal 25-40 euro kosten (op nacalculatie waarschijnlijk aanzienlijk meer). Dan weet je alvast wat je tegemoet komt.

Een udpate van mijn kant, ik heb nog géén tijd gehad om te kijken. De mail kwam vrijdag pas na 17.00 uur binnen en dan houd ik lekker weekend!. Door tussenkomst van overnamegesprekken die iets eerder dan gepland begonnen heb ik er ook geen tijd voor gehad en zie ik de komende dagen ook geen tijd om als freebie te helkpen. (betaald overigens ook niet, gewoon simpelweg een volle agenda deze week)

Inmiddels 4 pagina's verder..
Wat is het budget Arjen om de server na te laten kijken?
Zo schiet het ook niet op dacht ik.
Een tip: Trek de stekker eruit tot dat iemand met verstand tijd heeft om er naar te kijken.

Ik deel de frustratie van iedereen, en begin zelfs af te vragen waarom I3D de sterker er nog niet uitgetrokken heeft. Ik had al lang een abuse procedure van KPN gehad, en nog volledig terecht ook.

Oorspronkelijk geplaatst door Cybafish

Weet niet wat I3D je rekent, maar een mbit traffic gaat je toch minimaal 25-40 euro kosten (op nacalculatie waarschijnlijk aanzienlijk meer). Dan weet je alvast wat je tegemoet komt.

Voor colocatie klanten:
Per 100GB achteraf + € 55,- p/m

En dan maak ik geen geintje !!

Dan beginnen we het nu dus echt over stevige bedragen te hebben...

Oorspronkelijk geplaatst door Bart L

Dan beginnen we het nu dus echt over stevige bedragen te hebben...

Ik denk dat topic starten 5TB data heeft aangezien dat bij bijna alle dedicated servers zit, dus hij kan wel een hoop gebruiken.

5TB is inderdaad een hoop, dus laten we hopen dat dat meevalt..

$ time sudo halt

Ook weer niet zo vriendelijk, al lost het wel het e.a. op

Oorspronkelijk geplaatst door Bart L

5TB is inderdaad een hoop, dus laten we hopen dat dat meevalt..

Dat is ook maar gemiddeld 170GB per dag en TS doet er nu al gemiddeld 210,60 GB per dag over op 2 dagen volgens zijn eigen stats. Aan dit tempo een goede 6TB op een maand, dus aan de eerder vermelde prijs zal dit dus flink kunnen oplopen.

Nu denk dat het probleem niet zo zeer de traffiek is, want I3D zal wel klanten hebben die meer doen aan traffiek. Maar eerder het type traffiek, je wilt als leverancier niet bekend staan als netwerk waar DDos etc vanaf komt. Ik kan alleen uit mijn eigen spreken, maar ik had al een melding gemaakt en indien hier geen gehoor aan gegeven werd de verbinding al flink aan banden gelegd.

@TS: volg de raar op van de mede wht'ers en laat iemand je server eens controleren en stap voor stap uitzoeken waar het fout gaat. Want met reinstall en corrupte backups terug zetten kom je nergens. Begin misschien al eens om in je firewall bepaalde soorten traffic outbound te beperken. Regels zoals indien syn naar ip meer dan x aantal keer per sec/min voorkomt dichtzetten van die handel, in plaats van manueel achter de feiten aan te lopen.

Ik heb de server gisteren vluchtig doorgelopen en niets kunnen vinden, jammer dat er zelf ook wat op het systeem gewerkt is waardoor het zoeken moeilijk(er) maakt. Geen vreemde scripts, niets in /tmp of /var/tmp. lsof wijst ook niet uit of er iets meedraait op de achtergrond.

Gezien ik vandaag niet werk, zal ik morgen verder kijken.


EDIT: De server is in eerste instantie uitgezet/offline gehaald en de klant ingelicht, deze verzocht om hem weer in te schakelen.

Oorspronkelijk geplaatst door phreak

Ik heb de server gisteren vluchtig doorgelopen en niets kunnen vinden, jammer dat er zelf ook wat op het systeem gewerkt is waardoor het zoeken moeilijk(er) maakt. Geen vreemde scripts, niets in /tmp of /var/tmp. lsof wijst ook niet uit of er iets meedraait op de achtergrond.

Gezien ik vandaag niet werk, zal ik morgen verder kijken.


EDIT: De server is in eerste instantie uitgezet/offline gehaald en de klant ingelicht, deze verzocht om hem weer in te schakelen.

Uiteraard verzocht de klant dat... Maar op dit moment levert een server in jullie netwerk al meerdere dagen problemen op voor de buiten wereld.. Ik vind het jammer voor TS ,maar in vergelijkbare situaties hebben wij toch echt anders gehandeld. Of de klant lost het op binnen zeer korte tijd met hoogste prio en evt budget, of wij lossen het op en dan komt er een factuur met daarna verplicht systeembeheer bij de dedicated en daarmee vervalt dan ook gelijk de root login voor de afnemer.