Forum gehackt, maar niets in accesslog

[Verwijderd]

Het volgende is het geval:

Wat vrienden van mij en ik hebben een forum. Het betreft Simplemachines. Nu is er dus gister iemand geweest die ons forum gehackt heeft.

Althans er staat: You Are HACKED BY ALEKS

Nu dacht ik slim te zijn en mijn accesslogs er op na te slaan.

Door op de ftp te kijken naar de file die gister gewijzigd was, heb ik kunnen zien dat dit om 21:21:00 uur gebeurt is. (opvallende tijd trouwens)

Maar als ik nu in mijn accesslog kijk, is er op dat tijdstip helemaal niemand geweest die verbinding heeft gemaakt met onze site.

Is er nu een fout in onze acceslog of heeft deze meneer een of andere truc toegepast?

Het lijkt me stug dat de serverdatum niet goed staat eigenlijk.
Iemand een idee hoe ik achter het ip van deze vent kan komen? Ik stel zijn provider namelijk graag op de hoogte.

[ Voor 3% gewijzigd door Verwijderd op 13-03-2006 18:32 ]

[BasieP]

als hij je forumpje gehacked heeft, en je gebruikt passwords voor meerdere dingen zou het zo kunnen dat hij ook handmatig je access.log geedit heeft

verder kan hij ook gewoon veel eerder zut uitgevoerd hebben, je wachtwoord onthouden, en via ftp je zooi geedit

ow en over die serverdatum:
is het wel nederlandse server? anders zit je met tijdzone verschil he

[ Voor 17% gewijzigd door BasieP op 13-03-2006 18:33 ]

[Verwijderd]

hmm wat dat betreft kun je wel eens gelijk hebben.

het lijkt wel alsof mijn ftp transfer log helemaal weg is. Vanaf 4 maart heb ik geen ftp transfer meer in mijn log staan.

Dat wordt ff me wachtwoorden veranderen dan. Maar hoe kan iemand achter mijn password komen?

[BasieP]

Verwijderd schreef op maandag 13 maart 2006 @ 18:37:
hmm wat dat betreft kun je wel eens gelijk hebben.

het lijkt wel alsof mijn ftp transfer log helemaal weg is. Vanaf 4 maart heb ik geen ftp transfer meer in mijn log staan.

Dat wordt ff me wachtwoorden veranderen dan. Maar hoe kan iemand achter mijn password komen?

Door slechte beveiliging (inkoppertje)
me glaze bol is kapot, dus weet zo niet wat het bij jouw is, maar er zijn hier vast wel mensen die je willen helpen met beveiligen, maar iets meer info is dan wel gewenst..

check eerst eens of die forum software van je niet toevallig security problemen heeft

[Cloud]

Verwijderd schreef op maandag 13 maart 2006 @ 18:37:
Dat wordt ff me wachtwoorden veranderen dan. Maar hoe kan iemand achter mijn password komen?

Daarover kun je het beste even bij simplemachines kijken. Als het geen bekende van je is die dit gedaan kan hebben, is het vaak een exploit in de forum software. Dus eerst eventjes bij hun kijke of er misschien recente exploits gevonden zijn

[Verwijderd]

BasieP schreef op maandag 13 maart 2006 @ 18:39:
[...]


Door slechte beveiliging (inkoppertje)
me glaze bol is kapot, dus weet zo niet wat het bij jouw is, maar er zijn hier vast wel mensen die je willen helpen met beveiligen, maar iets meer info is dan wel gewenst..

check eerst eens of die forum software van je niet toevallig security problemen heeft

Ik heb wel eens wat gehoord over defacen van fora. Dit lijkt er behoorlijk veel op. Aangezien er ook een file is ge-edit die behoorlijk diep in de ftp staat.

Als meneer in mijn FTP is gekomen, waarom zou hij dan niet meteen de frontpage gedaan hebben.

Maar zou hij dan ook via dat forum bij de accesslog kunnen komen? Dat lijkt me erg stug.
Ik ga even checken op de site van t forum.

[BasieP]

die knakker wou waarschijnlijk alleen zijn naam op je site zetten (defacen dus)

wat ie kon doen en wat ie heeft gedaan boeit niet, het gaat er om dat hij (en niemand anders) het ooit zou mogen doen.

en das beveiliging van jouw kant

[Verwijderd]

Ah lees net ook een mailtje van mijn hosting bedrijf.

Vannacht zijn we aangevallen door een Joomla worm:

STONE INTERNET SERVICES System Message:

13/03/2006 12:23 AM
- Joomla Hack

Some users have been hit by a Joomla worm.

You should allways keep your third site software up to date as every update had fixes to mayor security holes.
We urge our users to update all PHP driven software to the latest version to prevent this in the future.

To fix: simply reupload your standard template.

The latest joomla version can be found here: http://forge.joomla.org/s...omla/frs.joomla_1_0.1_0_8

Thank you.

En op de joomla site staat:

Powered by SMF.

Denk dat het hier iets mee te maken heeft.

Alleen gaar dat ik geen joomla gebruik.

[ Voor 3% gewijzigd door Verwijderd op 13-03-2006 18:51 ]