vermutlicher Angriff per "PHP Code Injection Exploit"

P

Perry_Rhodan

Member
Hallo,

zuerst, der Server ist vorsorglich vom Netz genommen!

Serverdaten:
Ubuntu 8.04 LTS
Plesk 9.5.2
rkhunter, chkrootkit (beide bringen keinerlei Warnungen oder Fehler)
mod_evasive
fail2ban

Vermutlich wurde über "PHP Code Injection Exploit" ein DDos-Angriff von unserem Server gestartet. :mad::(

Reicht es fürs erste, die entsprechende Website abzuschalten und die Einträge in /tmp/ zu löschen um den Angriff zu stoppen und zu eliminieren?

Kann ich den Server danach wieder ins Netz stellen?

Es ist ziemlich eilig, da ich dringend den Mailserver wieder brauche.

Gruß

Ulf

P.S. Soweit ich es bisher rausbekommen habe, gelang der Angriff über PHPMyadmin den entsprechenden Ordner habe ich erstmal gesichert und dann gelöscht.

Muß ich mehr tun?
 
Perry_Rhodan said:
Vermutlich wurde über "PHP Code Injection Exploit" ein DDos-Angriff von unserem Server gestartet. :mad::(
Click to expand...

Und wie bist du dir so sicher? Ich mein, irgendwie müssten ja irgendwo Verbindungslogs vorhanden sein, damit du das ja auch nachvollziehen kannst...
 
Ja bin ich.

in der syslog steht:/usr/sbin/cron [6687] :(www-data) cmd (/tmp/exploit2009/.r/update > /dev null 2>&1)

und in /tmp stehen Dateien mit dos-xx.xxx.xxx.xx

Diese wurden von www-data:www-data angelegt.

Allerdings finde ich per ls -al ind /tmp keinen Ordner oder eine Datei mit exploit2009

Gruß

Ulf

per google bin ich auf eine Seite gestoßen, die wohl eine Anleitung zum Angriff mit einem Exploit gibt und dieser funktioniert wohl über phpmyadmin.
 
Last edited by a moderator:
Backup machen, Einbruchstelle zu Hause auf einem Testsystem suchen und das System neu aufsetzen, diesmal ohne die Sicherheitslücke.

Wenn du schon dabei bist, dann nimm auch gleich eine aktuellere Distro.
 
*hust*

ich werde mit Sicherheit NICHT auf Ubuntu 10.x gehen. Noch nicht!

Außerdem wird es vom Provider gar nicht angeboten. Das ist auch nicht das Problem! Das WAR phpmyadmin.

Der Angriff konnte durch die open_basedir-einstellungen (openbasedir= ... /domain/ : /tmp) erfolgen. Dies wurde korrigiert.

Gruß

Ulf
 
BTW: was macht Dich so sicher, dass der Einbrecher nichts anderes / kein anderes Backdoor geschaffen hat?
 
Öhm, plöde Frage...

Glaube (ich weiß, Glauben ist nicht Wissen) alles Böse auf meinem Server erlegt zu haben.

Wie kann ich nun erkennen/prüfen, ob doch noch ddos-Angriffe von meinem Server laufen? netstat, top usw. zeigen keine unbekannten und unngewöhnlichen Sachen an und crontabs laufen auch nur noch die, die laufen sollen.

Gruß

Ulf
 
Last edited by a moderator:
Ggf. noch mit tcpdump den traffic mit schneiden.

Allerdings, und das ist die Gefahr nach einem solchen Einbruch:
Du kannst nicht zuverlässig sagen, was der Einbrecher alles manipuliert hat.
Daher sind die Aussagen aus den lokalen Programmen nicht mehr vertrauenswürdig.

Im Prinzip müsstest Du einen Router vor den Host spannen und über diesen den Netzwerkverkehr mitschneiden.

Beim beheben der "Bösewichter" hast Du hierbei auch das Einfallstor gefunden und gestopt? Also eisst Du, woher die cronjobs etc. kamen un hat es unterbunden, dass diese wieder eingeschmuggelt werden?

Und hast Du überprüft, ob sich der "Angreifer" nicht noch ein weiteres Backdoor geschaffen hat?

-> Leider ist das nicht immer leicht zu heraus zu finden. Und tools wie rkhunter etc. haben auch in diesem Punkt Ihre Grenzen.
 
Das Einfallstor (phpmyadmin) habe ich gefunden. Zumindest denke ich es. Und im Moment ist Ruhe.

Ob ich es für immer unterbunden habe... wer weiß das schon. Leider.

Soweit es meine Fähigkeiten und Kenntnisse erlauben, habe ich alles gefunden, was nicht auf den Server gehört.

Habe Hilfe von einem Forenuser hier erhalten und er hat nix weiter gefunden. Und er macht dies beruflich. Also sollte ich relativ sicher sein. Vorerst zumindest. Er schaut die Tage nochmal auf den Server und schaut, ob noch Unregelmäßigkeiten auftreten.

Ich werde mal die Möglichkeit des Wechsels auf einen "Managed Server" prüfen. Allerdings bieten die wenigsten die Möglichkeit, Programme zu installieren (brauche Zend Optimizer und/oder Ioncube) bzw. ich muß für zusätzliche Domains eine Menge bezahlen. Da wir aber einen Resellervertrag mit Domains haben, also selbst Domains buchen können, sind dies ein paar Bedingungen die erfüllt werden müssen.

Also Managed Server mit Zend/Ioncube und die Möglichkeit (unbegrenzt) eigene Domains zu schalten, dazu min. 2 IP´s, 50GB HDD mit min 1TB Traffic und das ganze für 30 Euro *ganzlautlach* naja 50Teuronen und ich wechsel sofort. :cool:

Da dies Wunschvorstellungen sind, werde ich beim Root-Server bleiben müssen.

Leider finde ich nirgends in Deutschland bezahlbare Kurse über Webserver-Sicherheit und vertiefende Linuxkurse. Alleine tue ich mich schwer, das zu lernen, bin halt überzeugter Windoofnutzer. :cool:

Naja, gibt nur 2 Möglichkeiten, entweder ich hab nun Ruhe oder eben nicht. Hoffe aufs erstere.

Danke an Alle für Eure Tipps, Tricks und Geduld.

Gruß

Ulf
 
Deine dos Dateien im /tmp Verzeichnis stammen wahrscheinlich von deiner eigenen mod_evasive Installation und bedeuten nur, dass es etwas geblockt hat. Also was das betrifft dürfte alles in Ordnung sein.
 
Jupp, die Dateien in /tmp schreibt mod_evasive.

Der Angriff konnte mit dem löschen vom phpmyadmin-Verzeichnis und entfernen des pösen crontab gestoppt und beseitigt werden.

Weitere ddos-Attacken gehen nun nicht mehr vom Server raus und es wurden keine weiteren unbefugten Eindringlinge enteckt. *uff*

Soweit so gut.

Tausend Dank an alle, die zur Lösung beigetragen haben.

Gruß

Ulf
 
in der syslog steht:/usr/sbin/cron [6687] www-data) cmd (/tmp/exploit2009/.r/update > /dev null 2>&1)
Click to expand...

Hast du diese Einträge aktuell noch in dem syslog Logfile?

Solltest du diese noch haben, liegt es daran, dass der Angreifer ein cronjob unter dem user "www-data" (Webserver User) angelegt hat.

Ein Blick in die Cronjobs von "www-data" mit "crontab -e" lohnt sich auf jeden Fall.

Anhand deiner Syslog-Lofiles und meiner Erfahrung, kann ich dir sagen, dass es sich wahrscheinlich um einen RFI Angriff gehandelt hat.

Nach diesem Angriff wird meist, ein IRC basierter Bot installiert, der sich auf einen c&c verbindet um dort Befehle entgegen zu nehmen.

Habe Hilfe von einem Forenuser hier erhalten und er hat nix weiter gefunden. Und er macht dies beruflich. Also sollte ich relativ sicher sein. Vorerst zumindest. Er schaut die Tage nochmal auf den Server und schaut, ob noch Unregelmäßigkeiten auftreten.
Click to expand...

Ihr solltet auf jeden Fall augehenden Traffic analysieren, entweder via tcpdump und dann den Dump in Wireshark laden zur weiteren Bearbeitung.

Des weiteren würden sich noch "netstat" und "lsof" (muss man meist nachinstallieren, unter Debian einfach apt-get install lsof) anbieten für die Analyse:

Netstat würde ich, wie folgt starten:
Code: 
_$ netstat -tulpen
bei "lsof":
Code: 
_$ lsof -i

Jetzt sieht man ganz deutlich, welche Ausgehenden Verbindungen der Server aufgebaut hat.
 
Last edited by a moderator:
You must log in or register to reply here.
Back
Top