Session hijack poging? - Internet en hosting

donderdag 23 juli 2009 12:52

Acties:

Topicstarter

Beste medetweakers,

Sinds een aantal dagen ervaar ik problemen met een door mij gehoste site. De hosting wordt gedaan door een redelijk standaard hostingbedrijf dat Plesk gebruikt, en het gaat om een site die in PHP is geschreven.

Wat me de laatste paar dagen opviel was dat er bijna geen gebruikers meer ingelogd waren geweest, en dat er sporadisch "witte schermen" kwamen in plaats van de bedoelde pagina's. Nadat ik vandaag weer eens zo'n witte pagina tegen kwam heb ik eens op de "View Source" knop gedrukt. Wat ik toen zag werd ik niet bepaald vrolijk van:

JavaScript:

<script type="text/javascript" language="javascript">
  var oigmlob=new Date( ); 
  oigmlob.setTime(oigmlob.getTime( )+030*074*074*01750); 
  document.cookie="sessi\x6f\x6eid=39\x312860\x35A531\x3b pa\x74h=/\x3b ex\x70ir\x65s="+oigmlob.toGMTString( );
</script>

Nu is mijn Javascript niet vloeiend, maar volgens mij is dit een poging de sessie te kapen.

Zoals jullie begrijpen heb ik vervolgens mijn hele website binnenstebuiten gekeerd. De FTP toegang is al maanden niet gebruikt, en die keer dat hij gebruikt is was ik degene die hem gebruikte. In de Apache access logs kan ik ook niks verdacht vinden - de index-pagina redirect standaard naar een pagina news.php, en dat ging bij elke request die ik deed goed (standaard 302), en ook lijken al mijn DNS settings nog te kloppen.

Een van de andere gebruikers van mijn site wist mij te melden dat hij op een virus download site terecht was gekomen in plaats van de clan site.

Ik heb nu dus twee vragen:

1) Hoe krijgen die grapjassen dit voor elkaar? Wordt de request onderschept op een overgenomen router?
2) Hoe kan ik het voorkomen? Zou het gebruiken van SSL hier een oplossing kunnen bieden?

Ik heb al maatregelen genomen om een session hijack tegen te gaan aan de server side, en de huidige site wordt over 2 maanden sowieso door een andere vervangen. Desnoods kunnen we nu al over naar de nieuwe site, hoewel hier nog redelijk wat functionaliteit mist.

Iemand een idee?

donderdag 23 juli 2009 13:00

Acties:

TeeDee

CQB 241

Gebruik je Joomla, Mambo, phpBB of wat dan ook?
Zo ja, zijn het verouderde versies?
Zo ja, dan is daar je exploit

Heart..pumps blood.Has nothing to do with emotion! Bored

donderdag 23 juli 2009 13:04

Acties:

djexplo

Al deze code op gegoogled?, ik vind verschillende topics met mensen met het zelfde probleem. Waarschijnlijk sql injectie door oude versies standaard website scripts...

'if it looks like a duck, walks like a duck and quacks like a duck it's probably a duck'

donderdag 23 juli 2009 13:04

Acties:

RiCkY82

Het kan ook een exploit zijn in de php versie die op de server draait, of in de apache server zelf.
Maar een exploit in een gebruikt pakket als Joomla lijkt mij waarschijnlijker.

Draai je toevallig een phpBB forum?

[ Voor 9% gewijzigd door RiCkY82 op 23-07-2009 13:08 ]

donderdag 23 juli 2009 13:34

Acties:

JeroenFM

Topicstarter

Nee ik gebruik alleen zelfgeschreven PHP scripts (niet dat die erg veilig zijn - maar heb in ieder geval een beetje security through obscurity - voor zover dat nog iets uithaalt). Standaardexploits daarvoor gaan dus niet werken.

Volgens phpinfo():

Apache 2.0.54
PHP Version 5.2.3

Aangezien Apache 2.0.X op 2.0.63 zit en PHP 5.2.X op 5.2.10, kunnen jullie wat dat betreft nog wel eens gelijk hebben. Ziet er naar uit dat ik vervroegd over moet op mijn nieuwe op Java gebaseerde site - moeten de gebruikers maar een tijdje met beta functionaliteit werken (wat voor een clansite niet zo erg is ;-))

[ Voor 0% gewijzigd door JeroenFM op 23-07-2009 13:35 . Reden: Grammatica ]

donderdag 23 juli 2009 14:50

Acties:

TeeDee

CQB 241

JeroenFM schreef op donderdag 23 juli 2009 @ 13:34:
Nee ik gebruik alleen zelfgeschreven PHP scripts (niet dat die erg veilig zijn - maar heb in ieder geval een beetje security through obscurity - voor zover dat nog iets uithaalt). Standaardexploits daarvoor gaan dus niet werken.

Met alle respect, maar dan zal je ergens een lek hebben en zou ik me nog meer zorgen gaan maken. Je vermoedt dus dat er ergens al een lek zit.

Volgens phpinfo():

Apache 2.0.54
PHP Version 5.2.3

Dat is niet echt relevant. Het zou wel kunnen zijn dat jouw (shared) host compromised is en dat je door een andere site geinfecteerd bent.

Aangezien Apache 2.0.X op 2.0.63 zit en PHP 5.2.X op 5.2.10, kunnen jullie wat dat betreft nog wel eens gelijk hebben. Ziet er naar uit dat ik vervroegd over moet op mijn nieuwe op Java gebaseerde site - moeten de gebruikers maar een tijdje met beta functionaliteit werken (wat voor een clansite niet zo erg is ;-))

Je hebt een site volledig in Java gebouwd. Of bedoel je javascript?

Heart..pumps blood.Has nothing to do with emotion! Bored

vrijdag 24 juli 2009 10:27

Acties:

JeroenFM

Topicstarter

Met alle respect, maar dan zal je ergens een lek hebben en zou ik me nog meer zorgen gaan maken. Je vermoedt dus dat er ergens al een lek zit.

Het vreemde aan de hele situatie is dat de Javascript-zooi die mijn site naar me toe stuurt in plaats van de daadwerkelijke pagina, gestuurd wordt op het moment dat ik de index probeer op te vragen.

Mijn index pagina doet dit:

PHP:

<?

header("Location: news.php");
die();

?>

Ik zie niet hoe je hier een exploit op toe kan passen zonder Apache zelf te compromisen. Welliswaar zou het kunnen als ze de index vervangen door iets anders, maar dat is niet het geval - er is maar 1 index-bestand en er staan ook geen .htaccess bestanden op de server.

Ik sluit overigens niet uit dat er door een vulnerability in mijn eigen site iets geks op de server is gekomen, maar aangezien dat closed source is en ik redelijk goed rekening houdt met zaken als SQL injection en XSS (niet optimaal helaas, maar tot nu toe goed genoeg) is de kans dat het daardoor gekomen is verwaarloosbaar, zeker gezien er voor bekendere software zoals Apache en PHP, evenals de vele pakketten daarvoor (zoals PHPBB) vaak veel exploits bekend zijn, en dit gewoon makkelijker is.

Dat is niet echt relevant. Het zou wel kunnen zijn dat jouw (shared) host compromised is en dat je door een andere site geinfecteerd bent.

Dus volgens jou is het niet mogelijk dat een corrupte versie van Apache en/of PHP af en toe andere data stuurt? Ik zie het zo gebeuren hoor, hoewel dat me niet de simpelste manier van infectie lijkt. Echter een infectie op een andere site binnen de zelfde shared omgeving is waarschijnlijker.

Je hebt een site volledig in Java gebouwd. Of bedoel je javascript?

Nee ik bedoel echt Java, als in de programmeertaal van Sun Microsystems.

Uiteraard wel server side Java, of dacht je dat ik een site met applets in elkaar geknoopt had? Zo maf ben ik ook weer niet

Ik gebruik Apache Wicket, Spring en Hibernate en de applicatie draait op de Tomcat Servlet Container (hoewel hij op Jetty ook prima werkt).

[ Voor 0% gewijzigd door JeroenFM op 24-07-2009 10:28 . Reden: Smiley ]

vrijdag 24 juli 2009 10:41

Acties:

EDIT

Dit verhaal komt mij heel bekend voor.
Is ook al twee keer gebeurt met een site die ik vaak bezoek. Een site van iemand anders op de server bevatte een veiligheidslek, en daarmee konden er foute apache processen opgestart worden (vraag me niet hoe, dat weet ik niet). Die stuurden bij elke aanvraag een smerig javascriptje (het zelfde als jij hierboven aan geeft, maar ook doorstuur-scriptjes) naar de bezoeker.
Hoster moet dit probleem gewoon oplossen, en veiligheidslek op de server fixen.

Is het werkelijk ook bewezen dat het aan jou site ligt (bijvoorbeeld access logs o.i.d.)?

vrijdag 24 juli 2009 11:01

Acties:

JeroenFM

Topicstarter

Dit verhaal komt mij heel bekend voor.
Is ook al twee keer gebeurt met een site die ik vaak bezoek. Een site van iemand anders op de server bevatte een veiligheidslek, en daarmee konden er foute apache processen opgestart worden (vraag me niet hoe, dat weet ik niet). Die stuurden bij elke aanvraag een smerig javascriptje (het zelfde als jij hierboven aan geeft, maar ook doorstuur-scriptjes) naar de bezoeker.
Hoster moet dit probleem gewoon oplossen, en veiligheidslek op de server fixen.

Het grappige is dat de host gisteren een mailtje sturen dat ze aanstaande zondag alle servers voor onderhoud offline gaan brengen "wegens de toegenomen vraag naar hun diensten". Als onderdeel van dat onderhoud wordt mijn site naar een andere server verhuist.

Is het werkelijk ook bewezen dat het aan jou site ligt (bijvoorbeeld access logs o.i.d.)?

Ik heb 600MB aan access log doorgespit (lang leve grep), en er is helemaal NIETS te vinden dat de informatie van mijn site af komt, bij een aanvraag voor de site index komt er netjes een 302 respons die naar news.php verwijst, en news.php geeft een 200 status terug met de juiste content.