[DDOS?] - Perl scriptjes onder www owner op FreeBSD 5.1 - Privacy en beveiliging

zondag 18 mei 2008 11:37

Acties:

Topicstarter

Ha heren,

Even een lastig probleem. Ik heb een oude rammelbak (FreeBSD 5.1) die ik host bij een vriend. Ik heb basis kennis van alles om maar meteen met deur en al in huis te vallen. Daardoor trek ik hier even aan de bel.

Ik ben er van de op hoogte dat FreeBSD 5.1 ernstig verouderd is maar ik heb geen mogelijkheid er iets anders op te zetten op het moment (geen fysieke toegang tot mijn server, lang verhaal)

Ik draai er heel simpel alleen MySQL, Apache en een FTP server op. Verder niets. Ik heb dan ook alleen toegang tot mijn server, en niemand meer.

Tot voor kort ging alles prima, geen problemen of wat dan ook. Alleen toen werd m'n bak erg langzaam. Ik dacht eerst dat het aan het netwerk lag maar dat was zoiezo vrij ondenkbaar en tevens kreeg ik nog steeds 10ms ping. Ik keek toen bij processes en zag dat er een hele rits met rare processen (perl) waren onder naam van WWW.

Ik schrok even en trachte ze toen maar te gaan killen. Dat lukte wel, alleen kwamen ze net zo hard terug. Reboot gedaan maar ze kwamen meteen weer in de lijst. Apache maar uitgezet en beetje rondgegoogled en ik kwam her en der "ddos" tegen als ik op de procesnaam zocht dus ik wist eigenlijk al genoeg.

Resteerd enkel de vraag.. wat nu? Ik ben nogmaals een leek, mijn bak is niet goed beveiligd. Ik wil enkel apache/sql/ftp draaien. Hoe kom ik hier vanaf?

Afbeeldingslocatie: http://img291.imageshack.us/img291/9393/ddosgp5.png

Afbeeldingslocatie: http://img291.imageshack.us/img291/9393/ddosgp5.png

Alle tips zijn meer dan welkom!

zondag 18 mei 2008 11:46

Acties:

DrClaw

waarschijnlijk starten de ./ran scripts de kalomati sentinel scripts. Je ziet ze vaak in pairs, en ze controleren of een van beiden gekilled is, om ze dan weer op te starten.

Enfin, je website is dus geinfecteerd. Ergens staan die scripts, misschien in de tmp schijf of op een schrijfbare plaats in je www directory.

zulke schrijfbare plaatsen horen gemount als noexec.

vaak zijn de directories waar ze de scripts in verstoppen benoemd met iets waar je gemakkelijk overheen leest, zoals '...' of ' ..' of iets anders met spaties ofzo.

ls -la helpt je wel bij het zoeken naar verstopte dirs
lsof -i helpt je bij het vinden van de connectie die je kleine ddos computer bestuurt. die kun je dan blocken in je firewall.

zondag 18 mei 2008 12:38

Acties:

serkoon

mekker.

Kijk vooral in je Apache logfiles op welke manier men toegang heeft gekregen tot je webserver. Je draait hoogstwaarschijnlijk een lekke webapp, zoals bijv. een forum, phpmyadmin, enz. Ook webmin kan een probleem zijn.

Als je dat eenmaal uitgevogeld hebt, kun je het probleem oplossen, de boel opschonen en Apache opnieuw starten. Het noexec mounten van /tmp (en eventuele andere tmp directories) heeft weinig toegevoegde waarde, aangezien shell- en perlscripts nog prima gedraaid kunnen worden vanaf een noexec gemount filesystem.

zondag 18 mei 2008 17:09

Acties:

lordgandalf

het is geen DDOS want er word vebinding gemaakt van en naar 1 website.
en idd ben je besmet met een virus achtig iets
ik zouw zeggen alles verwijderen opnieuw installeren.
daarna netjes en veilig opbouwen dus weinig rechten voor www of appache zodat die alleen in de webdir kan schrijven of drai het gebeuren in een jail

Steam: Profile / Socialclub: Profile / Uplay: minedwarf / Origin: lordgandalf3

zondag 18 mei 2008 18:14

Acties:

nudie

Topicstarter

Ik heb daar dus de mogelijkheid (makkelijk) niet toe. Kan ik niet simpelweg het probleem opsporen en de applicatie die geinfecteerd is weggooien of wat dan ook?

Ik draai inderdaad een aantal phpBB fora's en een PHP gastenboek. Het laatste zal hem waarschijnlijk zijn.

zondag 18 mei 2008 19:05

Acties:

serkoon

mekker.

PhpBB staat bekend als nogal lek, dus daar zou ik eerst op focussen.

Overigens is het niet echt nodig om alles opnieuw te installeren als alleen een web-account gekraakt is. Aangezien FreeBSD al jaren geen publiek bekende local root exploits heeft, zou ik me er niet direct heel druk om maken dat men root heeft weten te krijgen. Dat gezegd hebbende, kan het geen kwaad het te checken (en je installatie eens te upgraden naar een ondersteunde, veiligere, stabielere en snellere versie).

zondag 18 mei 2008 21:00

Acties:

nudie

Topicstarter

Ik kan FreeBSD toch niet van locatie af upgraden? Dus dat is geen optie.
Ik zal de phpBB fora is uitzetten.

@update

ha ik had dit forumpje draaien: (heb er 3 totaal)

http://193.19.225.61/web/lll/

Check vooral even naar de aantallen posts

Wellicht is het hier?

@update2

ben sql db aan t droppen (600mb totaal) en heb de phpbb folder fysiek verwijderd. Zaten iets van 100,000+ posts op van spammers.

@update3

had dus iets van 100+ perl processes lopen. Heb alle phpbb fora's uitgeschakeld, DB weggegooid en bestanden verwijderd. Server gereboot maar de perl processen kwamen meteen weer binnen sprokkelen.. tips?

[ Voor 83% gewijzigd door nudie op 18-05-2008 21:53 ]

zondag 18 mei 2008 22:39

Acties:

serkoon

mekker.

FreeBSD kun je prima remote updaten, ik doe niet anders.

Check je Apache access logs of de zooi terugkomt van buitenaf. Check ook crontabs en at jobs van de user waaronder Apache draait.

maandag 19 mei 2008 14:09

Acties:

nudie

Topicstarter

19-5-2008 0:39:52 xxx: nou ze hebben dus via phpBB toegang verkregen tot console
19-5-2008 0:40:00 xxx: onder gebruiker www, waar apache -en dus phpbb- onder draait
19-5-2008 0:40:12 xxx: en via die console hebben ze in /tmp hun spul neergezet
19-5-2008 0:40:14 xxx: waaronder een DDoS bot
19-5-2008 0:40:16 Mike: ahhh

Nou een msn-linux-vriend heeft me uit de brand geholpen. Was idd via phpBB en hadden een DDOS bot gedumpt en nog meer troep. Is inmiddels dus opgelost! Let vooral op de alleszeggende reactie van mij.