Server met een beveiligings probleem?

[Server00]

Beste WHT'ers,

Ik heb nu een extra server erbij met CentOS erop geinstalleerd. Het probleem is dit weekend is er denk ik wat raars gebeurd.

Ik was weg zoals iedereen genieten van het carnavalsfeest. Ik ben toen rond 18:00 uur thuis gekomen op zondag avond en ging zaterdag weg rond 14:00 uur.

De vrijdag eerder werden er 65 root attacks op mijn server uitgevoerd waarbij ik werd gewaarschuwd via mail dat de gene is gebant. Dmv handig programmatje. Ik krijg ook elke dag via mail me serverlog te zien en extra informatie.

Maar goed ik kwam zondag thuis en kreeg een mail van een klant dat ie niet kon inloggen op directadmin, dus ik denk nou zal vast iets verkeerds hebben gedaan overigens gebruikte hij wel de gegevens die hij van mij via mail had gekregen.

Dus ik bekijk als aller eerst mijn email kijken hoe de server het ervan heeft afgebracht nadat ie vrijdagavond online kwam. En tot mijn verbazing die 2 dagen al geen mail gehad. Dus ik ben toen gaan kijken naar me serverinfo toevallig en stond dat ie 2 uur up was. raar? want ik heb hem zelf niet gereset was weg .

Ik heb toen bij reseller accounts gekeken en stond geen enkel reseller account ermee tevens had ik er pas 1 verhuist van die klant die de melding deed.

Nou zou ik toch weleens willen weten hoe dit komt? waarom een server reset me andere hoster heeft het zelf ook niet gedaan. Ik dacht eerst dat het misschien een wraak actie was van de gene die 65 attacks op me root gaf. Ik had die man ook netjes na het voorval gebelt via IP was een software bedrijf toevallig ook in maarssen waar ik woon. En het gekke is ik had nog geen domein gekoppeld aan de server. Dus dan moet je ook al het ip weten .

Maar ik ben er nog steeds niet achter, zijn er een aantal tips / programmas of dingen die ik zou na moeten kijken hoe dit allen is gekomen?

Ik hoor graag

[Mikej0h]

Het kunnen diverse dingen zijn.
Je zou een kijkje kunnen nemen in de log files van je services die je draait.
Meestal geeft DirectAdmin ook wel aan waarom iets down is.

Overigens zou het maar zo kunnen zijn dat de betreffende users wel aanwezig zijn, maar dat DirectAdmin vaag aan het doen is.
Staan er op de betreffende server in DirectAdmin toevallig op de /home partities nog wel directories van de users welke je eerder hebt geimporteerd?
Zijn de websites van de betreffende users wel online (uiteraard alleen online indien /home de user in aanwezig is).

Check je systeem met chkrootkit en rkhunter voor een basis check.
Controlleer met top of ps -aux of er geen rare processen draaien.
Zoja, controleer waar die processen vanaf starten, stop de betreffende processen en verwijder de bestanden van die lokatie.
Ga vervolgens op onderzoek uit hoe het heeft kunnen gebeuren dat er uberhaupt processen gestart zijn.

Goed, ik kan nog even doorgaan.
Belangrijkste is in ieder geval even kijken naar je logfiles.
Iets anders dat in me opkomt: gebruik je toevallig RAID op die machine?

[Server00]

Even vast een kleine update: De site draaide toen wel dus zal wel aan DA liggen is versie 1.29. Maar ik heb toen reseller opnieuw aangemaakt en nu lukt dat in iedergeval weer wel.

In de logs van DA niks intressants of storingen te vinden. Geen RAID gebruik ik

[systemdeveloper]

Check eens voor de gein of de uptime vóór of ná je backups ligt. Ik heb zo al eens een zeer intelligente exploit gevonden op een server van een gehackte hoster op dit forum. Die had de da cron aangepast voor een paar leuke acties maar de backup draaide een uur eerder dan zijn aanpassingen. Dus als je een pre-crash backup hebt, zou ik de boel eens even naast elkaar leggen en de checksums van je */etc/* en */bin/* dirs checken.

[Server00]

Probleem opgelost kan een slotje op

[Mikej0h]

Probleem opgelost kan een slotje op

En wat was de oplossing?
Voor googlend Nederland

[Server00]

De mails die ik niet ontving lag aan mijn nameserver , en de begin mails ontving ik omdat toen nog geen nameserver had ingesteld.

Dat andere was een directadmin bug, ik hoop ook niet dat het terugkomt en die gekke kuur van dat server gereboot was weet ik nog steeds niet maar met allerlei tools niks geks kunnen vinden.

Of te wel ben niet helemaal wakker

[Marin]

waarbij ik werd gewaarschuwd via mail dat de gene is gebant. Dmv handig programmatje.

Welk progje is dit?? Misschien een tip om root inloggen via SSH uit te zetten? IP's kunnen ze uiteraard via IP scanner hebben opgespoord...

[e-visionz]

Hij heeft APF op zijn server + anti bruteforce

[Aessence]

En het gekke is ik had nog geen domein gekoppeld aan de server.

Was dat het gekke? Ahh...

Hij heeft APF op zijn server + anti bruteforce

Ehh, i snapte ut nie, maarre me vrind heft ut vertaalt. "Ie heb AFP op ze server" zeitie tegen me nu snapik et ook! wauw. Die vrind was wel dronke maar die biertjes hiepe wel om ut te kunne leze. wauw.

George/

P.S. AFP