Computer gehacked via mysql/apache :?

[E-jey]

Een paar uur geleden vond ik in me apache root dir de bestanden nc.exe en myth.php. Dit vond ik nogal verdacht. Google vertelde me dat nc.exe het tooltje netcat was. Dit programma ken ik wel en het wordt veel gebruikt door hackers/crackers. De broncode van het php bestand vond ik ook zeer apart:

PHP:

edit: dit script is niet meer nodig. Voordat er verkeerde mensen mee aan de gang gaan :)

Ik weet dus te weinig van php om te weten wat dat script doet. Ik ben in me apache logs gaan kijken wat er allemaal gebeurde om het moment dat die bestanden zijn aangemaakt. Rond die tijd zat een persoon in me phpmyadmin te klooien. Toen ik dat zag heb ik mezelf voor me kop geslagen. Ik had namelijk niet een fatsoenlijk password en username op me mysql server zitten Vroeger blokte me firewall al het verkeer van apache en mysql naar het internet, maar sinds ik me creaties (kuch) ook aan wat anderen mensen wil laten zien, heb ik de blokkade uit me firewall gehaald. Ik heb trouwens gewoon wampserver (soort phptraid, apachefirends whatever) geinstalleerd. Ja, ik weet dat ik lui ben

Dit is de code uit me apache log:

84.129.231.x - - [28/Aug/2005:18:01:00 +0200] "POST /phpmyadmin/read_dump.php HTTP/1.1" 200 4917
84.129.231.x - - [28/Aug/2005:18:01:01 +0200] "GET /favicon.ico HTTP/1.1" 404 288
84.129.231.x - - [28/Aug/2005:18:01:13 +0200] "POST /phpmyadmin/read_dump.php HTTP/1.1" 200 7900
84.129.231.x - - [28/Aug/2005:18:01:14 +0200] "GET /favicon.ico HTTP/1.1" 404 288
84.129.231.x - - [28/Aug/2005:18:01:19 +0200] "GET /myth.php HTTP/1.1" 200 288

Nu is dit de eerste keer dat ik fatsoenlijk in de apache logs kijk, dus ik weet niet echt wat ik hiervan moet vinden. Eigenlijk ga ik er gewoon van uit dat meneer 84.129.231.x geprobeerd heeft mijn computer te hacken en dat hij volgensmij succes heeft gehad.

Wat me ook opviel is dat in phpmyadmin een database stond met de naam "remoteshell". Dit was me nog niet eerder opgevallen en de naam klinkt iig nogal verwacht. Alhoewel een scriptkiddy wat een beetje nadenkt het wel anders zou noemen. Alle databases zijn onleesbaar. Bahalve de DB die ik zelf gebruik zeg maar. Er stonden nog een paar anderen bij van bijv. phpmyadmin zelf.

Nu wil ik het volgende weten. Kan ik nog meer te weten komen over deze actie? Kan ik zien of het echt succesvol is en of hij (zij?) nog steeds dingen kan uitvoeren op me pc?

Verder wil ik graag weten of het zin heeft om een mailtje te sturen naar zijn provider met de gegevens. Bij voorbaat dank voor de hulp

Dit heb ik al gedaan om niet meer vatbaar te zijn:

- de bestanden uit me apache root dit gehaald.
- alle porten die open stonden dicht gegooid. Had er nogal wat extea open gezet voor bittorent ed.
- norton virusscanner draait nu
- apache/mysql afgesloten

edit:

Via dat php script kan je commando's uitvoeren op mijn pc via de browser. Daar ben inmiddels wel achter.

[ Voor 29% gewijzigd door E-jey op 30-08-2005 23:40 ]

[Verwijderd]

je kan natuurlijk het programma pfort runnen

kan je kijken wat er runt en op welke porten. Ook is het verstandig om bepaalde poorten dicht te gooien met een router of firewall. Doe eens wat windows updates.

Vaak maakt een hacker een bepaalde map aan wat niet snel te vinden is of doorlinkt naar iets anders waar hij dan wel in kan komen. Bijvoorbeeld een prullenbak aangemaakt. Ga jij erin met deze computer dan open jij gewoon je prullenbak. Maar bijvoorbeeld een ftp connect via flashfxp dan kan je gewoon in die map je files dumpen.


info van dat ip adres

http://www.ripe.net/fcgi-...ng=&searchtext=84.129.231


probeer maar wat

[lordgandalf]

die php pagina is niet zoveel bijzonders.
het is een shell op je server.
vooral dit stukje is gevaarlijk:

code:

if($cmd !="") print Shell_Exec($cmd);

als je namelijk dat script aan roept met cmd dus zoals :

myth.php?cmd=cmd.exe

dan voert je php server die vrolijk uit met zijn rechten die hij op dat moment heeft.
waarschijnlijk hebben ze zo netcat binnen gesmokkelt en zo een shell opgezet zodat ze je pc remote kunnen bedienen enz.

maar hoe dat bestand (myth.php) is waarschijnlijk via een bug in phpmyadmin en dan specifiek (read_dump.php) op je pc beland en toen hebben ze via die myth shell netcat gedownload en zo controle over je bak gekregen

[E-jey]

Ik denk dat ik morgen deze site maar eens ga invullen: https://abuse.t-ipnet.de/cgi-bin/abuse.pl

[mrFoce]

E-jey schreef op dinsdag 30 augustus 2005 @ 23:51:
Ik denk dat ik morgen deze site maar eens ga invullen: https://abuse.t-ipnet.de/cgi-bin/abuse.pl

beetje raar als die 'hacker' een nederlands zinnetje plaats terwijl het ip uit duitsland komt... Denk dat het of een veredelde proxy server is of dat die duitser ook slachtoffer is van een hack... Maar dat kan je ook de provider laten uitzoeken

[pasta]

E-jey schreef op dinsdag 30 augustus 2005 @ 23:51:
Ik denk dat ik morgen deze site maar eens ga invullen: https://abuse.t-ipnet.de/cgi-bin/abuse.pl

Volgens de Ripe informatie (zie voor link greezzero z'n post) moet je abuse juist hier melden.

Ik zou verder ook nog even een full scan met een AV zoals Kaspersky (met extended bases, voor RiskWare ) controleren of nc.exe het enige bestand is wat ze tot nu geplaatst hebben. Het zou namelijk best kunnen dat ze al een backdoor hebben geïnstalleerd om via een andere manier toegang tot je computer te krijgen.

[magnifor]

pasta schreef op woensdag 31 augustus 2005 @ 00:15:
[...]

Volgens de Ripe informatie (zie voor link greezzero z'n post) moet je abuse juist hier melden.

En dan wordt je automatich doorgelinkt naar https://abuse.t-ipnet.de/cgi-bin/abuse.pl

[Verwijderd]

Eeeuh....very simpel. Je hebt op een root account op je mysql server geen wachtwoord....dat is te exploiten, hoe ga ik dus niet zeggen aangezien dat niet de bedoeling is voor got...maar daar zit dus je probleem een mysql account zonder wachtwoord

[Verwijderd]

Erg interessant onderwerp! Hoe kan je dit het beste voorkomen? (naast het instellen van een wachtwoord voor root)

[Verwijderd]

Zorgen dat accounts die geen externe toegang nodig hebben het ook niet hebben, gewoon een kwestie van een goed rechtenbeleid hebben....

[lordgandalf]

Verwijderd schreef op donderdag 01 september 2005 @ 15:07:
Erg interessant onderwerp! Hoe kan je dit het beste voorkomen? (naast het instellen van een wachtwoord voor root)

alleen verbindingen van localhost toestaan op al je accounts je poort 3306 (mysql poort) alleen open voor localhost.
goeie passwords kiezen en zorgen dat als je scripts voorzien zijn van goeie beveiliging tegen sql injections.