Dotaz: Zdařilý hack mého testovacího serveru

[Martin H.]

Zdravím a mám dotaz.

Dnes jsem zjistil, že mě hackli server. Zkoumal jsem jak, no samozřejmě přes FTP (ProFTP). Šel jsem dál a pravděpodobně to bylo přes FTP v PHP/Apache. Jelikož to již nevyužívám a nějak jsem to zapomněl vypnout ... vypnul jsem to a všechny nepotřebné PHP moduly také.

Ve výpisu FTP jsem našel uživatele wwwrun a toto: OPERULEZKCOPERULEZKC

Neví někdo, co to může být?

Díky za rady, případně i doporučení, co ještě na Apache zakázat, aby se to neopakovalo.

---

---

Odpovědi

[kuda]

dobry den, nemohl byste prilozit konfig a verzi sluzby, ktera to mela mit na svedomi? pripadne distro jake pouzivate a jestli aktualizujete, pouzivate nejakou bezpecnostni vrstvu?

[Martin H.]

Verze je OpenSuSE 10.2 a samozřejmě aktualizuji ... jeikož se však jedná o spíš testovací server, kde si zkouším potřebné a kromětoho tam jedou moje stránky a mail (abych měl na če testovat), tak aktualizuju jednou za čas.

Toto je první úspěšný útok, pokusů je denně několik, především na FTP, MAIL/POP3 a samozřejmě SSH.

Konfiguráky by zde odkryly celý server v plné kráse a to zase moc vhodné není.

Zkuste mi poslat mail pro více info.

[miro]

Verze je OpenSuSE 10.2 a samozřejmě aktualizuji ...

Možná blbý dotaz, ale jak to aktualizujete?

[Martin H.]

Správná poznámka ... díky 
Samozřejme verze 11.2 --- překlep.
Jinak by to samozřejmě aktualizovat nešlo.

[Jirka Keresteš]

V ProFTPd byla nedavno objevena chyba, mozna to s tim nejak souvisi.

[Bery]

jednou hacknuty server je vhodné kompletně přeinstalovat protože nemůžete vědět jestli tam není nějaký backdoor

[kuda]

a zjistit proc a jak se to stalo, aby se to nestalo znova ....

[Martin H.]

Nejspíš to souvisí s touto chybou. Na stránce s exploity je soubor v Perlu a v něm podobný řetězec jako uvádíš ty.

[Martin H.]

Díky, to bude asi ono. Do serveru nahráli index.php do všech virtuálů, dostali se tam přes FTP a účet wwwrun. Asi to byla opravdu chyba PERLu, který navíc už nepotřebuji, takže jsem ho vypnul. A v PHP jsem udělal nějaké restrikce, zatím to vypadá, že je vše OK.

Server jsem prošel a nenašel jsem žádné jiné změny. Přeinstalace by byl problém, je to virtuání server a distribuci mi dával providier - chtěl jsem 11.3, ale měli jen 11.2, nicméně stejně to budu muset začít co nevidět řešit.

Díky všem za info a pomoc.