Likes: 0
23/03/06 20:10
Beste
een van onze servers heeft diverse verbindingen openstaan (TCP4 / IRCD) naar o.a. een xs4all adres (ik denk homeuser?) en een paar adressen in london. Gek genoeg staat er niets (naast base freebsd) anders dan qmail op en vraag ik me echt af wat er gebeurd
heb net met NMAP gekeken vanaf localhost en andere servers, geen open poorten. chkrootkit niets.. etc
opties ? ben echt benieuwd.
Skynet ICT B.V. - The cause of the problem is: the printer thinks its a router.
23/03/06 20:15
Vaak worden deze processen gestart vanuit gehackte fora's, denk hierbij aan PHPBB of PHPnuke. Vaak worden processen onder FAKE ID's en PIDS geplaatst zodat chrootkit ze niet kan vinden. (Spreekt uit ervaring).
Zoek je server af naar IRCD, IRC, ircspy bestanden.
PS. Kijk je logs eens goed na! (Apache logs etc)
Laatst gewijzigd door Technotop; 23/03/06 om 20:17.
Technotop Internet BV - Sinds 2005 gespecialiseerd in cloud en datacentra.
23/03/06 22:23
Code:find -name .rar /
24/03/06 00:07
er staat niets op die server (geen klanten, geen fora, geen sites) dus ik zou niet weten hoe een gehackt forum de oorzaak kan zijn.
enne.. .rar zoeken... ?
Skynet ICT B.V. - The cause of the problem is: the printer thinks its a router.
24/03/06 00:32
Kijk eens welk proces de verbindingen open heeft staan met netstat -a -p
24/03/06 08:02
netstat gebruiken op process te vinden, dan ofwel in /proc/{pid}/cmd de commandoregel zoeken en de dir waar hij staat. lsof kan je ook helpen om te vinden waar iets staat.
Allemaal basis systeembeheer moet ik toch zeggen...
