Server wurde vom Netz genommen

Rebelhig · Dec 26, 2013

Hallo,
ich habe heute die Mitteilung von 1 und 1 bekommen, dass mein Rootserver vom Netz genommen wurde aufgrund von Denial-of-Service Angriffen.

Ich soll nun die Ursache der Angriffe herausfinden und die Software, die die Angriffe kontrolliert deaktivieren.

Wie sollte ich hierbei vorgehen, damit ich die Ursache finde?

Ich hatte mir mal über pa aux die laufenden Prozesse und Dienste anzeigen lassen - jedoch nichts auffälliges erkannt.

Könnt ihr mir hier weiterhelfen?

Gruß

Reiner

infinitnet · Dec 26, 2013

Läuft ein LAMP-Stack auf deinem Server? Ggf. ein offener DNS-Resolver, welcher als "Zombie" in einer DNS Amplification Attacke verwendet wird? Sollte dies nicht der Fall sein, solltest du mit tcpdump bzw. lsof herausfinden können, um was für eine Art von Traffic es sich handelt und welches Script diesen sendet.

Rebelhig · Dec 26, 2013

Was meinst Du mit Lamp-Stack?
Meine Server Konfiguration:
CentOS5
Plesk 11.0.9

Code:

Hier mal die Ausgabe von PS aux:
USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root         1  0.1  0.0   2168   672 ?        Ss   13:12   0:00 init [3]
root         2  0.0  0.0      0     0 ?        S<   13:12   0:00 [migration/0]
root         3  0.0  0.0      0     0 ?        SN   13:12   0:00 [ksoftirqd/0]
root         4  0.0  0.0      0     0 ?        S<   13:12   0:00 [watchdog/0]
root         5  0.0  0.0      0     0 ?        S<   13:12   0:00 [migration/1]
root         6  0.0  0.0      0     0 ?        SN   13:12   0:00 [ksoftirqd/1]
root         7  0.0  0.0      0     0 ?        S<   13:12   0:00 [watchdog/1]
root         8  0.0  0.0      0     0 ?        S<   13:12   0:00 [events/0]
root         9  0.0  0.0      0     0 ?        S<   13:12   0:00 [events/1]
root        10  0.0  0.0      0     0 ?        S<   13:12   0:00 [khelper]
root        11  0.0  0.0      0     0 ?        S<   13:12   0:00 [kthread]
root        15  0.0  0.0      0     0 ?        S<   13:12   0:00 [kblockd/0]
root        16  0.0  0.0      0     0 ?        S<   13:12   0:00 [kblockd/1]
root        17  0.0  0.0      0     0 ?        S<   13:12   0:00 [kacpid]
root       102  0.0  0.0      0     0 ?        S<   13:12   0:00 [cqueue/0]
root       103  0.0  0.0      0     0 ?        S<   13:12   0:00 [cqueue/1]
root       106  0.0  0.0      0     0 ?        S<   13:12   0:00 [khubd]
root       108  0.0  0.0      0     0 ?        S<   13:12   0:00 [kseriod]
root       175  0.0  0.0      0     0 ?        S    13:12   0:00 [khungtaskd]
root       176  0.0  0.0      0     0 ?        S    13:12   0:00 [pdflush]
root       177  0.0  0.0      0     0 ?        S    13:12   0:00 [pdflush]
root       178  0.0  0.0      0     0 ?        S<   13:12   0:00 [kswapd0]
root       179  0.0  0.0      0     0 ?        S<   13:12   0:00 [aio/0]
root       180  0.0  0.0      0     0 ?        S<   13:12   0:00 [aio/1]
root       334  0.0  0.0      0     0 ?        S<   13:12   0:00 [kpsmoused]
root       365  0.0  0.0      0     0 ?        S<   13:12   0:00 [ata/0]
root       366  0.0  0.0      0     0 ?        S<   13:12   0:00 [ata/1]
root       367  0.0  0.0      0     0 ?        S<   13:12   0:00 [ata_aux]
root       371  0.0  0.0      0     0 ?        S<   13:12   0:00 [scsi_eh_0]
root       372  0.0  0.0      0     0 ?        S<   13:12   0:00 [scsi_eh_1]
root       379  0.0  0.0      0     0 ?        S<   13:12   0:00 [kstriped]
root       392  0.0  0.0      0     0 ?        S<   13:12   0:00 [kjournald]
root       412  0.0  0.0      0     0 ?        S<   13:12   0:00 [kauditd]
root       440  0.0  0.0   2388   652 ?        S<s  13:12   0:00 /sbin/udevd -d
root      1312  0.0  0.0      0     0 ?        S<   13:12   0:00 [kmpathd/0]
root      1313  0.0  0.0      0     0 ?        S<   13:12   0:00 [kmpathd/1]
root      1314  0.0  0.0      0     0 ?        S<   13:12   0:00 [kmpath_handle]
root      1344  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfslogd/0]
root      1345  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfslogd/1]
root      1346  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfsdatad/0]
root      1347  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfsdatad/1]
root      1349  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfsbufd]
root      1350  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfssyncd]
root      1352  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfsbufd]
root      1353  0.0  0.0      0     0 ?        S<   13:12   0:00 [xfssyncd]
root      1471  0.0  0.0      0     0 ?        S<   13:12   0:00 [iscsi_eh]
root      1517  0.0  0.0      0     0 ?        S<   13:12   0:00 [cnic_wq]
root      1523  0.0  0.0      0     0 ?        S<   13:12   0:00 [bnx2i_thread/]
root      1524  0.0  0.0      0     0 ?        S<   13:12   0:00 [bnx2i_thread/]
root      1538  0.0  0.0      0     0 ?        S<   13:12   0:00 [ib_addr]
root      1548  0.0  0.0      0     0 ?        S<   13:12   0:00 [ib_mcast]
root      1549  0.0  0.0      0     0 ?        S<   13:12   0:00 [ib_inform]
root      1550  0.0  0.0      0     0 ?        S<   13:12   0:00 [local_sa]
root      1554  0.0  0.0      0     0 ?        S<   13:12   0:00 [iw_cm_wq]
root      1558  0.0  0.0      0     0 ?        S<   13:12   0:00 [ib_cm/0]
root      1559  0.0  0.0      0     0 ?        S<   13:12   0:00 [ib_cm/1]
root      1563  0.0  0.0      0     0 ?        S<   13:12   0:00 [rdma_cm]
root      1580  0.0  1.5  32756 32740 ?        S<Lsl 13:12   0:00 iscsiuio
root      1586  0.0  0.0   2364   452 ?        Ss   13:12   0:00 iscsid
root      1588  0.0  0.1   2828  2820 ?        S<Ls 13:12   0:00 iscsid
root      1866  0.0  0.0   1824   560 ?        Ss   13:12   0:00 syslogd -m 0
root      1869  0.0  0.0   1772   400 ?        Ss   13:12   0:00 klogd -x
dbus      1893  0.0  0.0   2860   844 ?        Ss   13:12   0:00 dbus-daemon --s
500       1950  0.0  0.0   5648  1028 ?        S    13:12   0:00 /usr/sbin/sw-cp
root      1960  0.0  0.0   3264   736 ?        Ss   13:12   0:00 /usr/sbin/sshd
root      1971  0.0  0.0   2844   856 ?        Ss   13:12   0:00 xinetd -stayali
root      1986  0.0  0.0   2952   576 ?        S    13:12   0:00 /usr/lib/courie
root      1988  0.0  0.0   1624   316 ?        S    13:12   0:00 /usr/sbin/couri
root      1996  0.0  0.0   2952   572 ?        S    13:12   0:00 /usr/lib/courie
root      1998  0.0  0.0   1624   316 ?        S    13:12   0:00 /usr/sbin/couri
root      2004  0.0  0.0   2952   576 ?        S    13:12   0:00 /usr/lib/courie
root      2006  0.0  0.0   1624   320 ?        S    13:12   0:00 /usr/sbin/couri
root      2013  0.0  0.0   2952   572 ?        S    13:12   0:00 /usr/lib/courie
root      2015  0.0  0.0   1624   316 ?        S    13:12   0:00 /usr/sbin/couri
root      2096  0.0  0.0   6700  1764 ?        Ss   13:12   0:00 /usr/libexec/po
postfix   2100  0.0  0.0   6828  1716 ?        S    13:12   0:00 qmgr -l -t fifo
postfix   2101  0.0  0.0   6748  1688 ?        S    13:12   0:00 pickup -l -t fi
postfix   2110  0.0  0.0  64104   692 ?        Ssl  13:12   0:00 /usr/lib/plesk-
root      2173  0.0  0.0   2560  1152 ?        S    13:12   0:00 /bin/sh /usr/bi
mysql     2255  0.0  0.9 137240 20440 ?        Sl   13:12   0:00 /usr/libexec/my
named     2323  0.0  0.1  50352  3700 ?        Ssl  13:12   0:00 /usr/sbin/named
root      2400  0.8  1.6  37568 34520 ?        Ss   13:13   0:03 /usr/bin/spamd
popuser   2401  0.0  1.6  37568 33496 ?        S    13:13   0:00 spamd child
popuser   2402  0.0  1.6  37568 33416 ?        S    13:13   0:00 spamd child
root      2489  0.0  0.9  44236 20144 ?        Ss   13:13   0:00 /usr/sbin/httpd
apache    2491  0.0  0.4  28956  8416 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2498  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2499  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2500  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2501  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2502  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2503  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2504  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
apache    2505  0.0  0.5  44236 12308 ?        S    13:13   0:00 /usr/sbin/httpd
root      2536  0.0  0.0   5388  1112 ?        Ss   13:13   0:00 crond
xfs       2554  0.0  0.0   3404  1104 ?        Ss   13:13   0:00 xfs -droppriv -
avahi     2563  0.0  0.0   2700  1240 ?        Ss   13:13   0:00 avahi-daemon: r
avahi     2564  0.0  0.0   2700   432 ?        Ss   13:13   0:00 avahi-daemon: c
68        2572  0.1  0.1   6016  4088 ?        Ss   13:13   0:00 hald
root      2573  0.0  0.0   3272  1088 ?        S    13:13   0:00 hald-runner
68        2580  0.0  0.0   2116   820 ?        S    13:13   0:00 hald-addon-acpi
root      2598  0.0  0.0   1756   456 tty1     Ss+  13:13   0:00 /sbin/mingetty
root      2599  0.0  0.0   1756   460 tty2     Ss+  13:13   0:00 /sbin/mingetty
root      2600  0.0  0.0   1756   456 tty3     Ss+  13:13   0:00 /sbin/mingetty
root      2601  0.0  0.0   1756   460 tty4     Ss+  13:13   0:00 /sbin/mingetty
root      2602  0.0  0.0   1756   452 tty5     Ss+  13:13   0:00 /sbin/mingetty
root      2603  0.0  0.0   1756   456 tty6     Ss+  13:13   0:00 /sbin/mingetty
root      2617  0.0  0.0   7380  2056 ?        Ss   13:14   0:00 login -- root
root      2618  0.0  0.0   4636  1488 ttyS0    Ss   13:16   0:00 -bash
root      2640  0.0  0.0   4356   984 ttyS0    R+   13:19   0:00 ps aux

Gruß
Reiner

Rebelhig · Dec 26, 2013

Das wurde mir noch mitgeschickt:
Hier finden Sie Hinweise zur Natur der Angriffe:

Code:

activating span (KA,sw-prtr-134-c,2/35) ...
starting remote tcpdump...(KA/601 using localhost)
1388027963.939906 IP 217.160.168.143.42973 > 88.191.160.173.13568: UDP, length 56
1388027963.939915 IP 217.160.168.143.61000 > 88.191.160.173.13568: UDP, length 56
1388027963.939928 IP 217.160.168.143.57490 > 88.191.160.173.13568: UDP, length 56
1388027963.939965 IP 217.160.168.143.48264 > 88.191.160.173.13568: UDP, length 56
1388027963.939968 IP 217.160.168.143.42270 > 88.191.160.173.13568: UDP, length 56
1388027963.939971 IP 217.160.168.143.58022 > 88.191.160.173.13568: UDP, length 56
1388027963.939973 IP 217.160.168.143.53754 > 88.191.160.173.13568: UDP, length 56
1388027963.939976 IP 217.160.168.143.60621 > 88.191.160.173.13568: UDP, length 56
1388027963.939986 IP 217.160.168.143.60447 > 88.191.160.173.13568: UDP, length 56
1388027963.939999 IP 217.160.168.143.33775 > 88.191.160.173.13568: UDP, length 56
1388027963.940011 IP 217.160.168.143.60878 > 88.191.160.173.13568: UDP, length 56
1388027963.940024 IP 217.160.168.143.46376 > 88.191.160.173.13568: UDP, length 56
1388027963.940042 IP 217.160.168.143.36690 > 88.191.160.173.13568: UDP, length 56
1388027963.940059 IP 217.160.168.143.42383 > 88.191.160.173.13568: UDP, length 56
1388027963.940073 IP 217.160.168.143.45557 > 88.191.160.173.13568: UDP, length 56 1388027963.940110 IP 217.160.168.143.53115 > 88.191.160.173.13568: UDP, length 56
1388027963.940112 IP 217.160.168.143.39038 > 88.191.160.173.13568: UDP, length 56
1388027963.940114 IP 217.160.168.143.57532 > 88.191.160.173.13568: UDP, length 56 ...

infinitnet · Dec 26, 2013

http://de.wikipedia.org/wiki/LAMP_(Softwarepaket)

Plesk beinhaltet eine LAMP-Umgebung und auch ein DNS-System. Ohne weitere Details kann man nur raten und ich rate mal, dass dein DNS-Resolver öffentlich zugänglich ist, was keine gute Idee ist. Diesen also umgehend schließen, siehe: http://www.zytrax.com/books/dns/ch9/close.html

PS: Okay, meine Vermutung war wohl falsch, da der dst Port sonst 53 wäre, was er bei dir nicht ist. Es sieht eher danach aus, als würe ein Skript den Angriff durchführen, was vermuten lässt, dass ein Hosting-Account, bzw. das gesamte System kompromittiert wurde. Wenn du dich selbst nicht so gut auskennst, würde ich dringend dazu raten, einen Profi zu konsultieren, welcher herausfinden kann, wie ein Angreifer in das System eindringen konnte, den Server neu aufsetzen und die Sicherheitslücke schließen kann. Denke daran, dass du persönlich für ggf. entstandende Schäden durch den ausgehenden DDoS haftbar bist.

vb-server · Dec 26, 2013

centos 5? Das ist auch schon ein paar Jahre alt... Wenigstens die Updates drauf?

infinitnet · Dec 26, 2013

vb-server said:
centos 5? Das ist auch schon ein paar Jahre alt und ohne Support....

Nicht mehr das Neuste - ja. EOL? Nein.

http://wiki.centos.org/About/Product

PS: Okay, da war wohl schon Tante Edit zugange.

vb-server · Dec 26, 2013

http://de.m.wikipedia.org/wiki/CentOS

Hab da geschaut - ist rot und laut Legende nicht mehr unterstützt. Muss man dann die aktuellste 5.X haben für die Unterstützung?

infinitnet · Dec 26, 2013

vb-server said:
http://de.m.wikipedia.org/wiki/CentOS

Hab da geschaut - ist rot und laut Legende nicht mehr unterstützt.

CentOS 6.4 ist dort auch rot, also gehe ich mal davon aus, dass dort einfach nur die aktuelle CentOS-Version jeweiligen "Main Branch" grün ist.

vb-server said:
Muss man dann die aktuellste 5.X haben für die Unterstützung?

Wie erwähnt glaube ich, dass in dem von dir verlinkten Artikel die Angabe zur "Unterstützung" nicht ganz offensichtlich ist. Bei CentOS gibt's nicht sowas wie ein "dist-upgrade", sondern mit jedem einfachen "yum update" wird CentOS auf die aktuelle 5.x oder 6.x Version aktualisiert. Kann man mit einem "Service Pack" bei Windows vergleichen.

vb-server · Dec 26, 2013

Darum die Frage, ob er die Updates drauf hat ;-) 5 ist für mich 5.0

infinitnet · Dec 26, 2013

Dass eine Lücke in einem veralteten Softwarepaket ausgenutzt wurde, ist durchaus unwahrscheinlicher als ein Plesk-Exploit (gab's da nicht sogar vor kurzer Zeit eins? Ich verwende Plesk nicht) oder ein Exploit in einem PHP-Script. Möglich ist es natürlich trotzdem, aber eben eher unwahrscheinlich.

Server wurde vom Netz genommen

Rebelhig

New Member

infinitnet

New Member

Rebelhig

New Member

Rebelhig

New Member

infinitnet

New Member

vb-server

Registered User

infinitnet

New Member

vb-server

Registered User

infinitnet

New Member

vb-server

Registered User

infinitnet

New Member