Forum Debian Users Gang

gutk · 2015-03-30 14:26:52

Witam,

Na jednym małym serwerze zauważyłem dziwną rzecz.. w katalogu / pojawiają się dziwne pliki 3503.rar 3502.rar i bardzo wymownie brzmiący plik o nazwie 'fuck'. Czytałem, że serwer mógł zostać zhakowany do DDOS ale przejrzałem logi i prócz crona i mnie nic tam nie znalazłem, czy jest jakiś sposób na wykrycie co to powoduje? Daty plików są sprzed roku.. nie wiem co dalej z tym robić, mógłbym napisać skrypt co to będzie usuwał ale nie w tym rzecz, przeskanowałem czy są wirusy i rootkity nic nie wyszło, pozmieniałem hasła boty są blokowane przez fail2ban choć czytałem na forum o lepszych mechanizmach planuje zablokować ruch z azji, afryki i innych. Na ten moment nic się nie dzieje ale nie wiem czy na tym serwerze mogę coś wrzucać poważniejszego, monitoruje ruch sieci.. co sugerujecie jeszcze posprawdzać?

uzytkownikubunt · 2015-03-30 14:35:36

1809

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:15:02)

Jacekalex · 2015-03-30 14:52:55

[quote=gutk]Witam,

Na jednym małym serwerze zauważyłem dziwną rzecz.. w katalogu / pojawiają się dziwne pliki 3503.rar 3502.rar i bardzo wymownie brzmiący plik o nazwie 'fuck'. Czytałem, że serwer mógł zostać zhakowany do DDOS ale przejrzałem logi i prócz crona i mnie nic tam nie znalazłem, czy jest jakiś sposób na wykrycie co to powoduje? Daty plików są sprzed roku.. nie wiem co dalej z tym robić, mógłbym napisać skrypt co to będzie usuwał ale nie w tym rzecz, przeskanowałem czy są wirusy i rootkity nic nie wyszło, pozmieniałem hasła boty są blokowane przez fail2ban choć czytałem na forum o lepszych mechanizmach planuje zablokować ruch z azji, afryki i innych. Na ten moment nic się nie dzieje ale nie wiem czy na tym serwerze mogę coś wrzucać poważniejszego, monitoruje ruch sieci.. co sugerujecie jeszcze posprawdzać?[/quote]
Failban?

Jak trzymasz niewspierany system, czy go nie aktualizujesz regularnie, do tego pewnie domyślnie puszczasz np Apacha czy Nginxa jako root (to zachowanie domyślne w systemie), do tego trzymasz może Proftpd bez szyfrowania, ale z dostępem do konta root (a może i sławnym backdoorem), i nie zabezpieczyłeś choćby poszczególnych usług nawet najprostszym systemem ACL, to możesz albo się nauczyć, jak się stawia bezpieczne serwery, albo się zająć polityką, bo do adminki serwerami internetowymi coś jednak trzeba umieć, i "czaić bazę".

I żaden Failban ani antywirus nie gwarantuje bez bezpiecznego systemu, a DDOS to wcale nie jest najgorszy atak, jaki może się serwerowi przytrafić.

Powinieneś dokładnie zaorać ten system na serwerze, i postawić go od zera, tym razem porządnie i starannie.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2015-03-30 15:02:54)

gutk · 2015-03-30 17:49:09

Dziękuję za tak szybkie odpowiedzi :)

1. Reinstalacja systemu - formatowanie DBAN dla pewności :P, rozumiem skuteczne i dziecinnie proste i to też mi przyszło do głowy

Doceniam waszą "troskę" ale ta maszyna nie przechowuje strategicznie istotnych rzeczy, jeżeli to padnie to nikt na świecie nie ucierpi (może jedynie chińskie boty które permanentnie próbują się zalogować :)

to możesz albo się nauczyć, jak się stawia bezpieczne serwery, albo się zająć polityką[/quote]
ja już jestem w partii

antywirus nie gwarantuje bez bezpiecznego systemu[/quote]
oczywiście, że nie ale pomyślałem, że przeskanowanie nie zaszkodzi, rootkita, backdoora też nie znalazłem - jeżeli macie jakieś inne sprawdzone patenty na wyszukiwanie wszelkich anomalii w systemie to proszę o rady na ten moment to mi przyszło do głowy

Offline

Time (s)	Query
0.00013	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00139	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.15.6.77' WHERE u.id=1
0.00108	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.15.6.77', 1714859141)
0.00072	SELECT * FROM punbb_online WHERE logged<1714858841
0.00102	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=27233 AND t.moved_to IS NULL
0.00008	SELECT search_for, replace_with FROM punbb_censoring
0.00220	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=27233 ORDER BY p.id LIMIT 0,25
0.00146	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=27233
Total query time: 0.00812 s

Forum Debian Users Gang

Ogłoszenie

#1 2015-03-30 14:26:52

gutk - Użytkownik

Zainfekowany serwer - dziwne pliki pojawiające się w /

#2 2015-03-30 14:35:36

uzytkownikubunt - Zbanowany

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#3 2015-03-30 14:52:55

Jacekalex - Podobno człowiek...;)

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#4 2015-03-30 17:49:09

gutk - Użytkownik

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#5 2015-03-30 17:55:19

uzytkownikubunt - Zbanowany

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#6 2015-03-30 20:39:29

gutk - Użytkownik

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#7 2015-04-23 09:15:48

bobycob - Członek z Ramienia

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

Stopka forum

Informacje debugowania