Fcgid Verzeichnis wird zugemüllt – Server gehackt?

[AGRV]

Hi Leute,
stehe aktuell vor folgendem Problem: Habe einen Root-Server welcher von Freunden und Bekannten als Webhoster genutzt wird. Das OS ist ein Ubuntu 12.04 mit Plesk 11.5 und den letzten Updates.
Nun habe ich festgestellt, dass die Platte vollläuft. Bei einer näheren Recherche habe ich gesehen dass es im es einen vermeintlichen Ordner Namens . / unter

/var/lib/apache2/fcgid/.            /

gibt.
Da das Verzeichnis mit Punkt und Leerzeichen zu sein scheint, kann ich auch nicht drauf springen. Mittels Suchbefehl (Dateien größer 500 MB) habe ich jedoch schon herausgefunden, dass hier größere Dateien upgeloaded werden.
In Plesk kann ich leider nicht erkennen welche Domain diesen Traffic verursacht.
Root Passwort und Plesk Zugang wurden bereits schon geändert, leider ohne Erfolg.

Nun meine Frage an Euch
- Wie kann ich herausfinden, welche Domain hier das Problem ist
- Wie kann ich das Problem eliminieren?

Für Eure Tipps und Ideen schon mal vielen Dank

Grüße,
Alex

 

[Lord Gurke]

Man kann da rein springen - man muss halt Anführungszeichen verwenden, z.B.

cd '.            '

Zudem lässt sich die Verzeichnisauflistung so umstellen, dass du die Dateinamen bereits in Anführungszeichen angezeigt bekommst:

ls -Qla

Dann kannst du einfach hergehen, den verdächtigen Verzeichnisnamen inklusive Anführungszeichen kopieren und dann in "cd" verwenden.
Falls es kein reguläres Leerzeichen ist sondern z.B. ein "Dauerleerzeichen", was am Ende identisch aussieht aber eben kein Leerzeichen ist, kommst du nur mit der Zwischenablage weiter

Grundsätzlich solltest du auch mal die Access-Logs der betroffenen Webspaces sichern und prüfen, wann das angefangen hat und vor allem wie es passiert ist.


Nachtrag: Du solltest den Server auch erstmal in den Recovery-Modus booten, damit die betroffenen Dienste nicht mehr erreichbar sind. Dann kannst du über das Modify-Date der hochgeladenen Dateien und den FTP-, Apache- und syslog-Dateien zu den betroffenen Zeiten mal suchen was da so passiert ist.
Modify-Date bekommst du mit "stat 'dateiname'".

 

[AGRV]

Hi Lord Gurke,

vielen Dank für deine Rückmeldung.

Nachdem ich nun die letzten Tage erfolglos logfiles studiert habe, bin ich ratlos welcher Webpace betroffen sein soll. GGf. hab ich den falschen Weg der Logfile Analyse eingeschlagen?

Der Server beinhaltet ja mehrere Webspaces. Ich habe alle Logs nach den Dateinamen gesucht die auf dem Server erzeugt wurden, leider erfolgreich. Da die Dateien ja recht groß sind kann ich auch kein genaues beginn-Datum wann die Datei erstellt wurde herausfinden zumindest was ich nun von stat zurück bekomme.
Da die hochgeladenen Dateien ja meist über ein Gigabyte groß sind, können die ja nicht aus dem Nichts erscheinen mit 1,2 GB größe oder größer.

Wenn ich nun einmal auf die stat auf eine der erstellten Dateien schaue bekomme ich folgendes Resultat

   Datei: »xyz.aviâ
  GröÃe: 1862144000    Blöcke: 3637008    EA Block: 4096   Normale Datei
Gerät: 902h/2306d      Inode: 90701908    Verknüpfungen: 1
Zugriff: (0664/-rw-rw-r--)  Uid: (   33/www-data)   Gid: (   33/www-data)
Zugriff    : 2015-12-20 08:29:51.192538668 +0100
Modifiziert: 2015-12-20 08:29:49.848547244 +0100
Geändert   : 2015-12-20 08:29:49.848547244 +0100
 Geburt    : -

Klar ich sehe dass es über den www-data User kommt aber mehr leider nicht.
Hast Du ggf. eine Idee nach was ich noch suchen könnte und ggf. wie ich herausfinden kann über welchen Webspace/Domain/Account der Angriff kommt?

Für weitere Ideen und Tipps sag ich nochmals Danke.
Grüße,
Alex

 

[d3p]

Klar ich sehe dass es über den www-data User kommt aber mehr leider nicht.
Hast Du ggf. eine Idee nach was ich noch suchen könnte und ggf. wie ich herausfinden kann über welchen Webspace/Domain/Account der Angriff kommt?

Du hast ja den Dateinamen (xyz.avi) und die Dateiendung.
Findest du in den Accesslog überhaupt nichts, was auf eine .avi-Datei hinweist?

 

[ThomasChr]

Ganz doofe frage, aber was gobts denn in xyz.avi zu sehen?

Ich würde mal auf Porno tippen und wenn dem so ist solltest du den Server schnellstmöglichst vom Netz nehmen!

Thomas

 

[fx123]

Habe einen Root-Server welcher von Freunden und Bekannten als Webhoster genutzt wird.

Sind diese einzelnen "Webspace" auch gut gesichert und laufen idealerweise alle in einer Sandbox? ... oder wie muss man sich das vorstellen?

Denn wenn die einzelnen Webspace-User einfach so "ausbrechen" und auf dein Gesamtsystem zugreifen können, dann hast du hier ein riesen Problem und solltest dir darüber erstmal Gedanken machen.