Onderwerp: phpBB 2.0.6

Heren,

Ik heb even een vraag,
Ik had gister op een site van een klant een phishing.
Ze hebben op een of andere manier een map weten te plaatsen met de naam "paypal"
Deze had de user root.
Nu heb ik alles nagezocht maar ik kan niet ontdekken dat ze bv via ssh of telnet zijn binnen gekomen.
Nadat ik de site compleet verwijdert had is het ze weer gelukt om nog eens de map erop te zetten,
dus ben ik verder gaan zoeken, en vond een phpBB forum op de server.
Is het mogelijk om via een lek phpBB forum een map te plaatsen via
domeinX.nl op domeinY.nl ?

En heeft iemand misschien nog zoektips voor me ?
Ik heb alle logfiles in de /var/log doorzocht, mis geen tijden, mis geen files.
heb ook de logfiles van alle domeinen nagekeken etc maar kan niets ontdekken.

Ook zoek ik gelijk een manier om na 3 ssh mislukte pogingen een time out te krijgen.

Als iemand me bij een van deze punten zou kunnen helpen... graag.

Alvast bedankt voor jullie tijd.

Recentelijk worden phishing sites meestal geplaatst via veiligheidslekken in (oude versies van) PHPbb, Mambo, Joomla! of componenten hiervoor. Daarnaast is het mogelijk dat ze alleen een backdoorscript hebben geplaatst en daarmee steeds de phishing site uploaden. Indien je het lek niet kan vinden, denk dan eens aan RSBAC, suPHP of PHPsuExec. Dat zoekt stukken makkelijker...

Met zoeits als BFD kun je de IP-adressen automatisch laten blokkeren bij het veelvuldig proberen in te loggen... Meer tips vind je in een *sticky* op dit forum.

Oorspronkelijk geplaatst door dreamhost_nl

Indien je het lek niet kan vinden, denk dan eens aan RSBAC, suPHP of PHPsuExec.

En een uitgebreide ruleset voor mod_security en een stok om je klant mee te slaan. phpBB 2.0.6 is zwaar verouderd en lek

Goed het forum was blijbaar niet de oorzaak,
De map staat er nu weer op.
Ik heb ondertussen weer alle voor mij bekende logfiles doorlopen en gezocht naar het tijdstip waarop de map aangemaakt is.
Maar niks,

ik zoek in alle logfiles van alle domeinen,
logfiles in /var/log
logfiles in /usr/locar/psa/var/log

Maar ik kan nergens iets vinden,
iemand nog tips ? ik wordt hier een beetje niet goed van, het moet toch ergens
te achterhalen zijn hoe ze binnen komen .....

Heb je al gezocht in het path van de gebruiker of er geen backdoor script is geplaatst? Ik kan me nog herinneren dat zo'n script was hernoemd als Chinese taalmodule van een lekke Mambo installatie. Ook al upgrade je dan alles, blijft het nog mogelijk om van buitenaf scripts te installeren.

Ik denk persoonlijk dat het gemakkelijker en sneller is om de account te resetten, nieuwe PHPbb te installeren en daarna een backup van de database terug. Ben je alle foute scripts gelijk kwijt...

Ik heb de domein compleet verwijdert gister, nieuwe users en wachtwoorden
eraan gehangen, vanmorgen het forum dat op die andere domein staat
eraf gegoooit, maar het blijft ze lukken om die map te plaatsen

met phpbb kun je avatars uploaden en er zijn wat bekende lekken
In ieder geval is versie 2.0.6 echt oud, updaten is een must ! (2.0.21)

Ramon Fincken,

Dat forum staat er al sinds gister niet meer op dus dat kan het niet zijn.

Wel heb ik nog een schop gevonden op die server, osCommerce 2.2 Milestone 1
zou dat er iets mee van doen kunnen hebben ?