:strip_icc():strip_exif()/u/53213/crop579918c57678f.jpeg?f=community)
Op een server heb ik ontdekt dat een vreemde merkwaardige exploit het voormekaar heeft gekregen om bestanden aan te maken. Het lijkt tot nu toe niet echt schadelijk, wat er gebeurd is:
* Er is een simpele shell geuploadt met eval en $_POST erin.
* Er is een bestand aangemaakt wat de directories uitleest en in alle domein-mappen een onschuldige caches.php bestand aanmaakt van Wordpress (en ik draai zelf geen Wordpress)
Ik heb verder een eigen geschreven CMS zonder ?p-systeem in de URL, en ook geen openbare uploadsystemen.
Ik heb de logs erbij gepakt:
Het bestand is ook daadwerkelijk op dat moment aangemaakt. En dat is buiten FTP of SSH om gebeurd zeggen de logs.
Maar hoe achterhaal ik op welke manier het bestand aangemaakt is? Ik ga uiteraard wel even kijken welke programma's en deamons verouderd zijn, en deze updaten, maar het lek zoeken, daar loop ik op vast.
Verder heb ik al rkhunter gedraaid en dat leverde geen rootkits op, een simpele check op 64base-string leverde ook niks op. Iemand die me verder op weg kan helpen?
Update:
Al eind maart schijnt er een simpele shell geuploadt te zijn. Helaas gaan mijn logbestanden niet zo ver. Wel is deze op 5 mei actief misbruikt door andere uploadshells aan te maken. Deze heb ik verwijderd, en ik ga straks even verder zoeken in mijn webroot naar eval( en move_uploaded_file(
Lang leve 'grep'
Ook laat mijn hosting even een controle doen op uitgaand verkeer. Maar ik denk dat het wel meevalt, want anders had ik ze allang aan de mail/telefoon gehad.
* Er is een simpele shell geuploadt met eval en $_POST erin.
* Er is een bestand aangemaakt wat de directories uitleest en in alle domein-mappen een onschuldige caches.php bestand aanmaakt van Wordpress (en ik draai zelf geen Wordpress)
Ik heb verder een eigen geschreven CMS zonder ?p-systeem in de URL, en ook geen openbare uploadsystemen.
Ik heb de logs erbij gepakt:
code:
1
2
3
4
5
6
7
8
9
| [05/May/2014:10:37:40 +0200] "POST /ls.php HTTP/1.1" 200 358 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - [05/May/2014:10:37:45 +0200] "POST /ls.php HTTP/1.1" 200 2871 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - [05/May/2014:10:37:50 +0200] "POST /ls.php HTTP/1.1" 200 795 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - [05/May/2014:10:37:59 +0200] "POST /ls.php HTTP/1.1" 200 595 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - [05/May/2014:10:38:01 +0200] "POST /ls.php HTTP/1.1" 200 1097 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - [05/May/2014:10:38:24 +0200] "POST /ls.php HTTP/1.1" 200 245 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - [05/May/2014:10:39:09 +0200] "POST /ls.php HTTP/1.1" 200 204 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - [05/May/2014:10:39:14 +0200] "POST /ls.php HTTP/1.1" 200 2908 "http://SITENAAM.nl" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 171.221.65.240 - - |
Het bestand is ook daadwerkelijk op dat moment aangemaakt. En dat is buiten FTP of SSH om gebeurd zeggen de logs.
Maar hoe achterhaal ik op welke manier het bestand aangemaakt is? Ik ga uiteraard wel even kijken welke programma's en deamons verouderd zijn, en deze updaten, maar het lek zoeken, daar loop ik op vast.
Verder heb ik al rkhunter gedraaid en dat leverde geen rootkits op, een simpele check op 64base-string leverde ook niks op. Iemand die me verder op weg kan helpen?
Update:
Al eind maart schijnt er een simpele shell geuploadt te zijn. Helaas gaan mijn logbestanden niet zo ver. Wel is deze op 5 mei actief misbruikt door andere uploadshells aan te maken. Deze heb ik verwijderd, en ik ga straks even verder zoeken in mijn webroot naar eval( en move_uploaded_file(
Lang leve 'grep'
Ook laat mijn hosting even een controle doen op uitgaand verkeer. Maar ik denk dat het wel meevalt, want anders had ik ze allang aan de mail/telefoon gehad.
[ Voor 10% gewijzigd door AW_Bos op 09-05-2014 09:55 ]
☎ Telecommunicatie van vroeger
🚅Alles over spoor en treintjes
/u/57387/claimedavatar-70.png?f=community){kind=avatar}
/u/38159/DirkJan.png?f=community)
:strip_icc():strip_exif()/u/146731/crop562615a0aa64c.jpeg?f=community)
:strip_icc():strip_exif()/u/132250/d1ca484677dbb1382705e67689809639.jpeg?f=community)
Hoe haal je dat eruit? Hij zegt alleen dat hij het onwaarschijnlijk vind dat er al te rigoreus omgesprongen is met het lek, omdat de hoster dan wellicht al wat gemerkt had en actie had ondernomen..
/u/34907/qs-logo.png?f=community){kind=logo}