HACKED By: BrEakerS

[baziel]

hoi,

Mijn website www.baziel.com is gehacked (en is nu dus uit de lucht).
Ik vond vanochtend de melding HACKED By: BrEakerS
met wat super stoere greetings (sorry ik bedoel Gr33tZ) en gedoe over moslim hackers.
Ik heb niks voor of tegen moslims, wel iets tegen mensen die aan mijn spullen komen.

Als ik op internet zoek lijkt het een irritant maar mostly- harmless script-kiddie clubje dat een wordpress exploit exploiteert.
Alleen heb ik geen wordpress, dat is blog software, en ik heb helemaal geen blog.

Iemand een idee welk ander exploitje ze gevonden hebben?

Dat help wat met het dichten.

Bedankt

[Croga]

Het is een beetje lastig na te gaan wat voor exploit ze gevonden zouden kunnen hebben als we verder geen flauw idee hebben van wat voor software je allemaal draait op je website......

[Rafe]

Wat draaide je dan wel? Een (oude versie van) PHPbb bijvoorbeeld? Of zelfgeschreven scripts die kwetsbaar zijn voor injections oid?

[Outerspace]

Als ik zoek op HACKED By: BrEakerS dan krijg ik heel veel hits en inderdaad waaronder iets over wordpress.

Kan het zijn dat je je Cpanel / ander Admin prog niet goed hebt afgeschermd?

[baziel]

Sorry jullie hebben natuurlijk gelijk.

suse 10.0
apache 2
php 5
webmin 2.6
named
postfix / courier
SSH

alles dagelijks bijgewerkt via yast
en de volgende tooltjes waar ik de versie soms niet van weet,
die ik geinstalleerd heb om eens uit te proberen.

webcalendar ?
tutos ?
todo ?
webalizer ?
* squirrelmail 1.4.5
* phpmyadmin 2.6.4
* phpldapadmin 0.9.7-alpha4
* phproject 5.0

alle * staan in een door apache met wachtwoord beveiligde directory.

[ Voor 4% gewijzigd door baziel op 13-04-2006 14:58 . Reden: kleine wijzigingetjes ]

[lordgandalf]

het kan in je tutos liggen daar zijn een aantal dingen vunrable van bevonden en gefixed
webcalendar bevat ook een aantal lekjes zo te zien
dus via die kunnen ze binnen zijn gekomen zover ik kan zien van de publiek beschikbare plaatsen

[baziel]

ik ga de hele zooi maar in een password protected directorytje zetten.
zou dat genoeg zijn?

[BasieP]

baziel schreef op zaterdag 15 april 2006 @ 12:13:
ik ga de hele zooi maar in een password protected directorytje zetten.
zou dat genoeg zijn?

als je wachtwoorden niet voor de hand liggen: ja
heb je verder nog een ftp ofzo? vaak kan je http access krijgen door ftp access of andersom

[Verwijderd]

Ik neem aan dat je webserver op UNIX draait.
Ik zal als eerst php in safemode draaien, dit om werkende phpshells te voorkomen.

In je lijst zie ik "phpmyadmin 2.6.4" staan, is deze remote te bereiken?.
Als dit het geval is bekijk dan of je toegang krijgt met root/null, pma/null acount

Voor de rest weet ik het niet, maar ik denk dat je al heel wat opschiet met safemode.

[scorpie]

Draaide je apache in een chrooted environment? Misschien hebben ze namelijk een rootkit geinstalleerd en hebben ze weer een bak in hun botnet erbij..

[Verwijderd]

Scorperito schreef op zondag 16 april 2006 @ 20:05:
Draaide je apache in een chrooted environment? Misschien hebben ze namelijk een rootkit geinstalleerd en hebben ze weer een bak in hun botnet erbij..

Lijkt me stug dat ze dan blij adverteren dat je server gehacked is.
dan moet bij een leek zelfs belletjes gaan rinkelen

[baziel]

ik heb die machine opnieuw geinstalleerd.
dus eventuele ro(o)tkits zijn weg.

ik ga van de week de rest langzaam aan weer opbouwen , en per ding maar kijken of het niet nog veiliger kan.