Apache2 init.d Skript plötzlich lehr

Mordor

Mordor

Registered User
Moischen
Gestern hat mich OSSEC darauf aufmerksam gemacht, dass mein apche2-init.d-Skript geändert wurde. Nachdem ich auf dem Server nachgesehen habe, hab ich festgestellt, dass es zwar noch vorhanden ist, jedoch komplett leer ist.

Daraufhin hab ich mal angefangen, meine Logfiles zu durchforsten, ob sich ein Anhaltspunkt auf einen Einbruch finden lässt. Dabei ist mir aufgefallen, dass zum fraglichen Änderungsdatum des Skripts ich selbst online war. Jedoch kann ich mich nicht erinnern, dass ich das Skript geleehrt hätte.
Auch weitere Nachforschungen haben nichts ergeben.
  • Über den FTP-Server kamen zwar Connections, nur sind diese alle an der Passwortabfrage hängen geblieben
  • Über den Mailserver kamen ebenfalls Verbindungen rein, diese Sind aber auch an der Passwortafrage hängen geblieben
  • SSH wurde an diesem Tag nur von mir benutzt
  • Auf dem Webserver läuft nur eine Wordpressskript, welches auf dem aktuellen Stand ist. Ausserdem ist auch hier kein Einbruch nachvollziehbar (keine entsprechenden Logeinträge, /tmp Ordner ohne auffällige Daten)
  • Nur ich habe SSH-Zugang, das Skript kann also nicht von jemandem anderen legal gelöscht worden sein.
  • Kein Anstieg des Traffics
  • OSSEC meldet auch nur dass die Datei verändert wurde. Es wurde kein Rootkit gefunden oder andere Dinge, die auf einen Einbruch schliessen lassen.
Meine Frag ist nun, wie kommt sowas zu stande, dass plötzlich ohne Zutun das Startscript des Apaches leer ist, und ob ich vielleicht etwas beim Checken nach einem Einbruch vergessen habe.

System:
Debian ETCH mit aktuellen Paketen
Apache2 Webserver mit PHP5
Mysql 5 (Von aussen aber nicht zugänglich)
Postfix mit Cyrus SASL und Courier-IMAP/POP3
Pureftpd mit Mysqlunterstützung


Gruß Mordor
 
Wahrscheinlich kommt das jetzt zu spät[1], aber was sagt "history" dazu? Manchmal passieren einem Fehler beim cut&paste, ohne dass man das richtig merkt...

[1]vielleicht hast Du ja noch ein Backup von /root/.bash_history?
 
Danke, ich glaub das wars.

Habe mir mal die Backupfiles der letzten zwei Tage gezogen, und siehe da, anscheinend ist mir ein Fehler beim Editieren der Links in den Runlevel-Verzeichnissen passiert.

Danke für den Hinweis.
 
You must log in or register to reply here.
Back
Top