Likes: 0
26/02/10 18:16
tsjek ook ff of het wel allemaal outbound was, het kan ook zijn dat je stats vooral inkomend verkeer of zelfs broadcast meet. Je hebt dan slechts netjes in kaart gebracht wat de omvang van de ddos bij i3d was, zonder daar verder zelf aan deel te nemen. Zou niet voor het eerst zijn dat iemand zijn server ondersteboven keert om uit te zoeken wat nu het probleem is, terwijl het slechts verkeerde parameters zijn die gemeten worden
26/02/10 18:38
?? Wat bedoel je hiermee.Oorspronkelijk geplaatst door Lite-On
Aha, daar kwam dus deels de overlast vandaan
Het is (ifconfig) outbound.
Als ik bij de stats van I3D gaat kijken is het Incoming. Maar dit is (imo) logisch te verklaren als hun van hun routers uitgaan...
Ik heb nog geen bericht van Randy.
26/02/10 18:40
Klopt; incoming vanuit de switch gezien (dus van server naar switch).
De standpunten en meningen op dit discussieforum zijn persoonlijk van aard en vertegenwoordigen in geen geval eventuele officiële standpunten van derden.
Lees hier de webhostingtalk.nl forum regels en voorwaarden!
26/02/10 19:09
Een server binnen ons netwerk was doelwit.
26/02/10 19:11
Tja, kan alleen maar zeggen dat het me spijt...
Wist het zelf namelijk ook niet... En waar zijn 'jullie' van? Waarom zouden 'jullie' aangevallen moeten worden?
27/02/10 02:37
Zal best maar er hebben toch heel wat meer systemen last van gehad.Een server binnen ons netwerk was doelwit.
Ben benieuwd wat Randy gevonden heeft. Al doende leert men...
27/02/10 09:49
Heb ik gezegd dat hij de enigste was? ;-)Zal best maar er hebben toch heel wat meer systemen last van gehad.
Was een grote groep sources, allemaal servers welke waarschijnlijk op dezelfde manier infected (bots) waren.
27/02/10 19:06
Ik heb nog niets gehoord van Randy, wel heb ik hem netjes een mail met de gegevens gestuurd.
Mocht ik nog iets horen hou ik jullie op de hoogte
Het is trouwens nog steeds aan de gang. 266GB vandaag weer :S
27/02/10 19:16
Randy is een drukke man, geef hem even tijd en hij fixt het (lees: heeft het al gedaan als ik het goed lees op de twitter :-) of dat was een ander :-) )
01/03/10 10:44
Ik denk niet dat dat mijn server was.
Vandaag heb ik er namelijk weer last van. Gister echter niet.
Het is ook elke keer op een ander tijdstip, dus een cronjob zal het niet zijn.
Ik sta voor een raadsel.
01/03/10 10:52
01/03/10 11:59
Beginnen met alles te blocken en dan één voor één een port/service toe te laten.
01/03/10 14:33
Maar deze 'bot' is nergens te vinden.
Waar ik wel achter ben gekomen is dat het via Apache2 draait.
Als apache2 stop word gezet is het over. Dus hier zal iets inzitten.
01/03/10 16:09
Apache2 logging aanzetten dus, en eens kijken wat er allemaal overheen gaat.
Mod_Status aanzetten:
http://httpd.apache.org/docs/2.0/mod/mod_status.html
krijg je dit soort output:
http://httpd.apache.org/server-status
Op zoek naar hostingpartijen die zich willen laten overnemen (met desgewenst aanblijven)
01/03/10 16:21
Als zoiets gaande is: registreer wat er gebeurt op je server.
Onmisbare tools:
- iptraf
- netstat
Sluit niet uit dat je netstat binary is overschreven door een andere, dus het loont om de net-tools RPM te herïnstalleren (netstat zit in net-tools).
netstat -lnp geeft dan een mooi overzicht van de daemons die draaien. Als je een botje op je server hebt staan, dan zou die op een bepaalde port moeten luisteren.
Overigens geldt eigenlijk in dit soort gevallen: server compromised = reïnstall. Je weet nooit wat er allemaal is gebeurd en wat er is gewijzigd op je server. Als er ergens een lek zit, dan zit het er nog steeds. Botje vinden en uitschakelen is dan niet meer dan een paracetamolletje tegen de migraine.
Quote
