mijn dedicated gehacked?

[Verwijderd]

Ik heb een dedicated win2k server ergens staan die de laatste tijd een beetje traag werkt. Hij gebruikt mySql en heeft dus geen last van dat mssql wormpje.
Voor de rest geen rare services open of wat dan ook. Ik draai er echter geen firewall op. Ik weet geen goede firewall voor een server.

Anyway, als ik netstat tik, krijg ik een heleboel http verbindingen te zien: dat hoort natuurlijk. Maar ook een aantal (50+) ftp verbindingen!!! Ik heb er maar 1 ftp op draaien en die blocked alle ip's behalve de mijne. Al die ftp connecties waren closed op een drietal na.
Nu weet ik dat veel van dit soort boxen worden gehacked en dat ze dan worden gebruikt om warez enzo op te verspreiden. Ik kan niks op de hd's vinden. De logfiles van de ftp zijn ook gewoon leeg, op mijn eigen connecties na.

Toch blijft die machine traag terwijl het een 100mbit lijn is. Denken jullie dat het aan die worm ligt die misschien het netwerk van de provider dicht trekt, of is het toch goed mogelijk dat ik keihard gehacked ben en al mijn dataverkeer verbrand aan fucking warez jochies?

Kunnen die closed ftp connecties gewoon scan attempts zijn?

[RedHat]

zoek is op *.rar *.r00 etc.
Monitor je dataverkeer en kijk je logs ff na.

[Vlabakje90]

RedHat schreef op 26 January 2003 @ 17:44:
zoek is op *.rar *.r00 etc.
Monitor je dataverkeer en kijk je logs ff na.

Jij hebt dus niet gelezen, hij heeft nix gevonden op zijn schijven, en hij heeft ook al de logs nagekeken en nix gevonden...

[DJSmiley]

Best kans dat je idd een mooi strotje bent

En zoeken op rar helpt niets, zegt dir-locking je iets? maw: daar kom je niet (normaal) achter.

Installeer DUMeter eens, en kijk of je ook veel traffic eruit gooit.. (upload)
Zo ja: Dan je actieve services langslopen..

Heb je trouwens IIS draaien? Mogelijk ben je op die manier ge"root"ted.. check je inetpub/wwwroot/scripts dir eens op tftp transfers

enne... hoop dat je er snel achter bent, als t idd een stro is, en je moet dataverkeer betalen... dan kun je lachen

[ Voor 15% gewijzigd door DJSmiley op 26-01-2003 17:59 ]

[Verwijderd]

je zal niets in je log files vinden van je ftp, lijkt me logisch.. als je vanuit hun ogen kijkt, zullen ze niet loggen omdat je dan alle ips kan zien enz.

zoek eens op *.sfv
misschien dat je dan wat vindt.
suc6

[FireWire]

Hopen voor je dat het geen stro is, anders kan je binnekort veel centjes gaan betalen

mail me ff op nicknaam at xs4all punt nl
ik denk dat ik wel wat voor je kan beteken

[Verwijderd]

ok, ik zal nog een search doen, maar het zal vast een dirlock zijn INDIEN ik een stro ben geworden =[

zelf hoop ik nog steeds dat ikzelf traag ben (mwah, cistron maxx) of dat gewoon hun netwerk nog steeds last heeft van dat sql worm. Aan de andere kant, het is alweer zondag..
Omdat ie zo traag is, is het ook erg lastig om dingen te installeren enzo. Gaat niet zo fijn. Maar ik zal inderdaad dumeter installen.
thnx
(firewire: u got mail) ;-)

[Verwijderd]

oh, en ja: ik heb iis draaien, maar alles dicht wat er maar dicht te maken valt

[Verwijderd]

mail me ff op nicknaam at xs4all punt nl
ik denk dat ik wel wat voor je kan beteken

Waarom kan dat niet gewoon hier dan? Dan leren anderen er ook nog iets van...

[elevator]

doe eens een:

code:

netstat -an | findstr /i LISTENING

zie je hier nog poorten tussen staan, die er niet tussen zouden hadden moeten staan?

[stfn345]

Wat je kan doen:
1. Dumeter oid installen of je daadwerkelijk traffic hebt, en dat het niet aan de trage verbindingen ligt

2. Een nmap (of andere portscanner) scan doen op je bak, vreemde ports? --> sysinternals.com ff zon tool halen om te kijken welk proces op welke port hangt.

3. Ff instellen dat je elke file ziet, ook recycler en system volume information
"Stro's" worden vaak in die dirs gegooid en zijn niet direct zichtbaar (ook niet bij zoeken vanuit windows) -- wat je ook kan doen dir c:\*.rar /s (VANUIT CMD.EXE!)

4. Misschien zijn er services installed die hidden draaien: firedaemon downloaden om deze te removen

5. Traceroute naar je bak doen, en kijken of er onderweg al iets flink bugged (hoge pingtimes)

6. Tenslotte: Het is niet onwaarschijnlijk dat je bak omgeroute wordt via een vage route, dus bijv. ipv AMS-IX , via carrier1 of uunet, dan kan het ook snelheid schelen
(heb zelf op dit moment ook dat probleem)

Good luck

[Azrael]

Je kan toch even met Treesize kijken hoe groot de dirs zijn en hoe groot ze zouden moeten zijn (dus wat jij er op hebt staan)?
Weet je in ieder geval of er niet 20 GB aan mp3tjes op staat

[Verwijderd]

ik denk dat het aan windows ligt, dat er "iets" niet goed draait, kijk bij processen en CPU usage, misschien is het een heel ander programma wat niet goed werkt

[Verwijderd]

der zijn zoveel manieren om een server te verbergen....

voor elke win2k (misschien ook andere versies)

ga naar msdos
doe maar eens hetvolgende

cd \
cd winnt\tasks
mkdir directory

en ga nu naar je winnt/tasks in verkenner..... 3 maal raden welke map je NIET ziet

/me doet het af en toe ook nog wel eens....

[Jorn]

Verwijderd schreef op 26 January 2003 @ 19:19:
ik denk dat het aan windows ligt, dat er "iets" niet goed draait, kijk bij processen en CPU usage, misschien is het een heel ander programma wat niet goed werkt

Erm, topicstarter geeft aan dat hij een vermoeden heeft, heeft de hele machine al nagekeken en vraagt hier omdat hij er niet meer uitkomt en hoe hij het kan nakijken.

En jij komt met een antwoord dat het aan windows ligt
Het ging juist om een aantal open ftpconnecties die er niet zouden kunnen zijn!
Hier heeft windows nog weinig mee te maken, het zou net zo goed een linuxmachine kunnen zijn die dit probleem heeft.

[Goku33]

kijk eens of je anoniem kan inloggen op je ftp, dat zegt ook een hoop, lijkt me

[Erkens]

Goku333 schreef op 26 January 2003 @ 19:39:
kijk eens of je anoniem kan inloggen op je ftp, dat zegt ook een hoop, lijkt me

nope, vaak draait er een ftp op een andere poort en/of wordt er een username/pass gebruikt

[Verwijderd]

elevator: niks raars. bedankt voor de tip
razorhead: super tips allemaal. heb nog niet alles uitgevoerd maar dat zal ik wel gaan doen.
azrael: nopes.. alles klopt.. volgens mij wordt ik echt niet gebruikt als distro.

Op dit moment is firewire de server aan het nalopen. Conclusie: wordt niet als distro gebruikt (jammer genoeg), maar heel misschien als proxy of bouncer. Nog niet gevonden nu. Http relayed niet.

Verder heb ik mysql erop met flink wat tabellen.. (iets van 150 ofzo) maar zelf denk ik niet dat het daaraan ligt: mysql draait met hele lage cpuload en er is geen verschil met een week geleden in drukheid op de server, toch was hij toen wel flink snel.


bedankt allen voor de tips. Ik werk er nog wat aan verder