Computer mogelijk gehacked, wachtwoorden achterhaald

[Verwijderd]

Wij zijn een webdevelopment bedrijf met een paar eigen webservers.
Nou zijn een paar van deze servers eergisteren gehacked.
Het blijkt dat de hackers met de root wachtwoorden binnenkomen.

Nou ben (was) ik de enige die de root wachtwoorden weet en gebruikt.
Deze wachtwoorden gebruik ik uiteraard nooit in de code, voor elke website maak ik een apart account aan.

Nu is de vraag, hoe komen ze aan die wachtwoorden...
Het enige wat ik me kan bedenken is dat ik een virus oid heb die mijn toetsenaanslagen opslaat.

Hoe kan ik loggen wat er met mijn computer gebeurt en eventueel de boel dichttimmeren?

Misschien ligt het heel ergens anders aan, maar ik kan het niet bedenken.
Als ze op een andere manier binnenkomen, dan kunnen ze toch nooit de root wachtwoorden achterhalen?

Verder dacht ik dat ik redelijk veilig bezig was, mijn configuratie:
- windows vista met alle beveiligingen aan (zover ik weet)
- Avast virusscanner (altijd up to date)
- router met firewall

Mochten jullie ideeen/tips hebben, dan hoor ik ze graag.

[Noork]

De webservers draaien op Vista? Root wachtwoorden waar van? Toch Linux? of Mysql? Welke services staan daar open? Remote desktop o.i.d.?

[Gerrit88]

Waarom kan je uberhaupt van buitenaf inloggen met het root account? Lijkt me absoluut niet wenselijk. Als het om Linux bakken gaat zou dit hooguit met su mogen mijns inziens. De combinati e vista en root klinkt vaag..

[Verwijderd]

Nee, op mijn lokale computer draait vista.
Op de webservers draait idd Linux en MySQL.
Gelukkig

Wat ik begrepen heb is dat ze binnengekomen zijn met SSH.

[Verwijderd]

Heb je wel een sterk password gebruikt, anders zouden ze hem 'gewoon' gebrute-forced kunnen hebben?

[Gerrit88]

Maar je mag dus via ssh inloggen met het root account? Dit zou ik echt zsm uitschakelen. Erg gevaarlijk zoals nu ook gebleken is!

[BtM909]

Begin eerst met de logs te bekijken. Ik meen me te herinneren dat er meerdere (oude) topics op GoT staan mbt hacken van webservers (volgens mij zelfs in de devschuur)... Probeer zo terug te tracen wat er precies is gebeurd in welke volgorde.

[leuk_he]

Instellen dat je remote NIET met root kunt inloggen, maar altijd su (sudo) moet gebruiken.

http://fixunix.com/securi...t-remote-root-logins.html

In file '/etc/ssh/sshd_config', set these two properties:

PermitRootLogin no
AllowUsers YOUR-USER

Op je eigen pc eens goed een virus scan draaien (key loggers) of nog dieper kijken met hijackthis of er vreemde processen worden opgestart. (staat vast in de faq hier)

[Verwijderd]

Het is een sterk wachtwoord en ze hebben idd SSH net uitgeschakeld.

Maar is het mogelijk dat iemand mijn toetsaanslagen opslaat?
En zo ja, hoe kom ik daar achter en wat kan ik daar tegen doen?

Of heb ik nou teveel de matrix gekeken als ik hieraan denk...

[Verwijderd]

BtM909 schreef op woensdag 10 september 2008 @ 10:02:
Begin eerst met de logs te bekijken. Ik meen me te herinneren dat er meerdere (oude) topics op GoT staan mbt hacken van webservers (volgens mij zelfs in de devschuur)... Probeer zo terug te tracen wat er precies is gebeurd in welke volgorde.

Het zijn dedicated servers, dus ik beheer ze zelf niet.
Maar ze zijn op dit moment druk bezig met alles.

leuk_he schreef op woensdag 10 september 2008 @ 10:04:
Instellen dat je remote NIET met root kunt inloggen, maar altijd su (sudo) moet gebruiken.

http://fixunix.com/securi...t-remote-root-logins.html

[...]

Op je eigen pc eens goed een virus scan draaien (key loggers) of nog dieper kijken met hijackthis of er vreemde processen worden opgestart. (staat vast in de faq hier)

Ok, hier ga ik ff naar kijken.
Dit is waarschijnlijk waar ik naar zocht.

[Gerrit88]

Dat is zeker mogelijk als er (onbedoeld) een keylogger geinstalleerd is. Daarom is het ook verstandig de tips van Leuk_he op te volgen. Verder is het natuurlijk ook wel erg handig de serverlogs uit te pluizen.

edit: spuit 11

[ Voor 4% gewijzigd door Gerrit88 op 10-09-2008 10:09 ]

[geforce5_guy]

Verwijderd schreef op woensdag 10 september 2008 @ 09:57:
Nee, op mijn lokale computer draait vista.
Op de webservers draait idd Linux en MySQL.
Gelukkig

Wat ik begrepen heb is dat ze binnengekomen zijn met SSH.

Gooi alleen de poorten open die je nodig hebt naar buiten.
SSH dus dicht gooien. Alleen poort 80 heb je nodig naar de webservers ?

[Jaap-Jan]

Welke distro heb je draaien? Debian en afgeleiden daarvan hebben een tijdje geleden een bug gehad in OpenSSL, waardoor de random number generator geen veilige output genereerde. Ook SSH keys zijn hiervan de dupe.

Artikel: http://article.gmane.org/...an.security.announce/1614
Topic op GoT: Debian openssl-bug

Als jullie hier last van hebben gehad, vernieuw dan de keys van alles wat met OpenSSL te maken heeft.

[ Voor 13% gewijzigd door Jaap-Jan op 10-09-2008 10:09 ]

[Gerrit88]

geforce5_guy schreef op woensdag 10 september 2008 @ 10:08:
[...]


Gooi alleen de poorten open die je nodig hebt naar buiten.
SSH dus dicht gooien. Alleen poort 80 heb je nodig naar de webservers ?

Het gaat om dedicated hosting, er zullen dus vast meer poorten open moeten staan (ssh, ftp, etc.).

[!null]

Naast dat root login over SSH niet handig is, is het wel handig om (als het kan in dit geval) SSH niet op de standaard port te draaien. Dus niet op 22. Ik heb wel eens m'n log bekeken toen ik mn SSH port nog wel op 22 had staan, werd gewoon continu random logins geprobeerd, echt achter elkaar door. Andere port en meteen helemaal niks meer.

[geforce5_guy]

Gerrit88 schreef op woensdag 10 september 2008 @ 10:10:
[...]


Het gaat om dedicated hosting, er zullen dus vast meer poorten open moeten staan (ssh, ftp, etc.).

Dan zou ik er helemaal voor zorgen dat root logins niet mogelijk zijn.

Neem dan twee SSH servers

1 voor de klant(en) met beperkte mogelijkheden
1 voor admin ( andere poort ) en geen directe root login mogelijk.

[!null]

1 voor de klant en 1 voor de admin? Dat is in dit geval dezelfde persoon.
Het is gewoon simpel, je moet SSH niet op de default port doen, en geen directe root login toestaan. Dus met su werken.
Andere oplossingen zijn echt niet nodig.

[Verwijderd]

Beste mensen, het is gelukkig opgelost

Door een "exploit" was er een perl bestand opgezet die een overflow veroorzaakte en sommige dingen plat legde. Via SSH kon de hacker toegang krijgen.

De vage scripts zijn verwijderd, updates geinstalleerd (dit gebeurde al automatisch... misschien een paar gemist ofzo) en alle SSH, telnet, enz dingen zijn gesloten.

Het lag dus niet aan mijn vista laptopje

Bedankt voor alle snelle reacties!

[!null]

Huh, wat voor exploit was dat dan?
En hoe kom je nu zelf in die server als SSH is gesloten?
(en telnet had natuurlijk nooit aan mogen staan )

[lordgandalf]

ben idd ook benieuwd naar welke exploit er gebruikt is.
Want dan moet het of een webpage zijn die niet goed geprogameerd is of een lek programma

[we_are_borg]

Ik moest even zoeken maar misschien dat deze post wat kan helpen. Er zijn ook sites die Linux security hardening tips geven hier staat alles in wat je moet doen om inbraken te voorkomen.

Kijk nu eerst even goed hoe dit gebeurd is.