Onderwerp: Server gehackt.. Wat is de oorzaak?

heb het onlangs voorgehad via een lek in apache. bestanden werden aangemaakt via apache en dan uitgevoerd. volledige update gedaan en geen last meer gehad.

Debian 4 is al niet heel recent meer... Ik zou inderdaad die eens upgraden. Ook al heb je DirectAdmin op de nieuwste versie, (zou ik trouwens sowieso ook even checken) Debian zelf zal ook lekken bevatten die in versie 5 opgelost zijn.

Laatst hetzelfde gehad. Een malafide site in combinatie met een verouderde versie van het OS zorgde ervoor dat de hacker een geupload bestand kon uitvoeren. Altijd OS up to date houden dus.

Heb je standaard SSH op je server opengezet? Als je dit niet nodig hebt scherm dit dan af via de firewall op ip en mac-adres. Controleer iedere dag in ieder geval je ftp verkeer.
Site hacks zie je tegenwoordig ook wel voorkomen doordat de klanten op de thuis pc een ftp client hebben en de wachtwoorden worden achterhaald. Als je deze wachtwoorden vervolgens aanpast (eerst niet vrijgeven) en dan met diverse anti malware tools laat scannen dan is het meestal over en kun je de wachtwoorden weer vrij geven.

Oorspronkelijk geplaatst door jecowo

Site hacks zie je tegenwoordig ook wel voorkomen doordat de klanten op de thuis pc een ftp client hebben en de wachtwoorden worden achterhaald. Als je deze wachtwoorden vervolgens aanpast (eerst niet vrijgeven) en dan met diverse anti malware tools laat scannen dan is het meestal over en kun je de wachtwoorden weer vrij geven.

Je snapt het ook al niet
FTP wachtwoorden worden idd vaak door een virus/trojan gestolen uit een FTP client
9 van de 10 keer worden ze geript uit Wincmd of Total Comander..
De juiste stappen zijn eerst de wcx_ftp.ini file een andere naam geven, daarna je eigen PC scannen op virussen/malware en trojans.
Als je er zeker van bent dat je PC clean is dan alle FTP wachtwoorden pas veranderen (dus niet andersom) en hierna kun je de wcx_ftp.ini weer terug zetten.

heb half jaar terug gelijkaardig probleem meegemaakt.

Via bug in joomla module bij de website van een klant een file geupload met ext. .php
Klant zijn tmp dir had gewoon toegangrechten, script uitgevoerd.

30% van de andere klanten hun index ook gedefaced, de andere niet, heel raar.

Misschien kan je daar (web writable folders) ook eens een kijkje nemen ?

Jaren geleden, toen ik me nog met hacken bezig hield, wiste wij achteraf al onze traces. Natuurlijk is dit nooit 100%, zit er namelijk een slecht geconfigureerde firewall tussen heeft die ze logs nog wel. Echter op de machine zelf zijn geen sporen voor de normale gebruiker. Natuurlijk zou een forensisch onderzoeker de ware aard weten te achterhalen, maar voor de meeste servers met een simpel hosting account waar de klant geen toegang heeft tot de firewall los of de firewall op de webserver draait is het voor de gemiddelde hacker makkelijk zijn sporen te wissen en voor de gemiddelde admin niet te doen om deze sporen terug te halen. Echter is mijn advies toch altijd te proberen de fout te achterhalen, iedere hacker, hoe slim ook, maakt weleens een fout.