Webserver gehacked,.JS bestanden aangepast, file date niet

[Tijsje]

Ik kwam er achter dat links naar de website vanuit Facebook of Instagram werden geredirect naar een of andere nep shop.
Na wat onderzoek kwam ik er achter dat er code stond in het jQuery bestand wat er niet thuis hoorde.

Er draait een Wordpress blog wat nooit geupdate is wat ik verdenk. Hier waren we ook van op de hoogte, en dit is verder ook onze eigen schuld.

Wat ik alleen raar vind, is dat de Modified timestamp van de JS bestanden niet aangepast is.
De date modified staat nog gewoon op het tijdstip dat Wordpress is geïnstalleerd.
Als er via Wordpress code is geïnjecteerd dan moet die timestamp toch wijzigen lijkt me? Dit wordt via Linux afgehandeld lijkt me?

[jan99999]

Als je wilt controleren of er iets aan de files is gewijzigd, dan moet je een checksum op alle files zetten,
dit op een andere pc, beveiligd bewaren, dan kun je regelmatig(of automatiseren) controleren of er iets veranderd is, zonder dat de admin iets gedaan heeft.
Dit is een goede en manier om hackers te vinden die alles omzeilen op je beveiliging, je ziet zelfs grote bedrijven dit vaak niet doen en dan na zeer lange tijd er pas achter komen dat er hackers bezig zijn.

Een hacker kan alles op je pc wijzigen en de datum en tijd is simpel.

[ Voor 7% gewijzigd door jan99999 op 12-01-2016 10:11 ]

[Thralas]

Tijsje schreef op dinsdag 12 januari 2016 @ 09:59:
Als er via Wordpress code is geïnjecteerd dan moet die timestamp toch wijzigen lijkt me? Dit wordt via Linux afgehandeld lijkt me?

Als de aanvaller niet alleen bestanden weet aan te passen, maar ook PHP-scripts of anderszins code kan uitvoeren (dat is niet onwaarschijnlijk), dan kan hij ook de timestamps aanpassen.

Overigens is alleen het aanpassen van de atime/mtime triviaal, ctime is een stuk lastiger. Met stat(1) had je dat mogelijk kunnen zien, maar waarschijnlijk heb je de boel al opgeruimd, dan is het te laat.

Edit: herstel, bovenstaande geldt voor ext4, geen idee of andere filesystems ook ctime bijhouden.

[ Voor 28% gewijzigd door Thralas op 12-01-2016 20:32 ]

[moijamie]

Ik zou ook even kijken of er files bij zijn gekomen en niet alleen aangepast zijn.