2
Server 2003 mit php mySQL gehackt - was muss ich beachten?
Hallo,
Intro:
Für ein Internetangebot habe ich mir einen Server mit Windows 2003 gemietet; der Support fühlt sich nur für die Originalinstallation zuständig. Da es mir nach etlichen Versuchen eigentlich zuviel Aufwand war, einen solchen Server selbst zu verwalten, wollte ich auf einen Managed Server umsteigen, doch der Vertrag läuft noch 9 Monate, daher will ich versuchen, diesen Server für das Angebot einzurichten.
Nach Freigabe von FTP, HTTP, SMTP sowie vielem try-and-error gelang eine Installation von php 5.1.2, einer 4er-Version von mySQL; es lief dann auch alles nach meinen Vorstellungen.
Nachdem in einer Rechnung der ausgewiesene Traffic plötzlich exorbitant zu sein schien, habe ich nach einer "Inspektion" bemerkt, dass im Inetpub/www-root-Verzeichnis
1. rund 9,7 GB Daten (wohl DVD-kompatible Menge) auf meine System-Platte hochgeladen wurden
2. ein Ordner angelegt wurde, der sich nicht mehr löschen ließ. (Witzig: Die darunter angelegten Ordner bildeten eine Art Logo)
Nach Auffinden und Durchsicht einiger Logdateien (die ich aufgehoben habe) konnte ich feststellen, dass wohl auch in der Registry Einträge vorgenommen werden konnten (was obigen Punkt 2 erklärt).
In den Logs finden sich wohl noch weitere Aktivitäten, die mich momentan aber nicht sonderlich interessieren, sondern eher:
Wie kann ich solche Zugriffe verhindern?
Ich habe nun wiederum den Server reinitialisiert, das www-root-Verzeichnis mehr oder weniger gesperrt, php 5.1.2 und mySQL 5.0.19 installiert. In der php.ini habe ich nun u. a.
safe_mode = on
gesetzt; jetzt komme ich allerdings nicht mehr mit meinem Standard-php/mysql-Benutzer in mein Internet-Angebot.
Nun also die Fragen:
Welchen Benutzer muss ich mit welchen Rechten worauf anlegen, wenn safe_mode = on bleiben soll?
Was muss noch unternommen werden, damit das Hochladen von Dateien sowie der sonstige Zugriff auf den Server für Unberechtigte unterbleibt?
Weitere Infos:
Windows Server 2003 mit SP1
IIS 6.0 aktiv;
MSSQL deaktiviert;
bisher keine weiteren (lokalen) Benutzer/Gruppen ausser den vordefinierten angelegt;
Remote-Administration
Da ich mir vorstellen kann, dass es da mehr gibt, als mir lieb sein kann, bedanke ich mich schon jetzt für die Hilfestellungen.
Intro:
Für ein Internetangebot habe ich mir einen Server mit Windows 2003 gemietet; der Support fühlt sich nur für die Originalinstallation zuständig. Da es mir nach etlichen Versuchen eigentlich zuviel Aufwand war, einen solchen Server selbst zu verwalten, wollte ich auf einen Managed Server umsteigen, doch der Vertrag läuft noch 9 Monate, daher will ich versuchen, diesen Server für das Angebot einzurichten.
Nach Freigabe von FTP, HTTP, SMTP sowie vielem try-and-error gelang eine Installation von php 5.1.2, einer 4er-Version von mySQL; es lief dann auch alles nach meinen Vorstellungen.
Nachdem in einer Rechnung der ausgewiesene Traffic plötzlich exorbitant zu sein schien, habe ich nach einer "Inspektion" bemerkt, dass im Inetpub/www-root-Verzeichnis
1. rund 9,7 GB Daten (wohl DVD-kompatible Menge) auf meine System-Platte hochgeladen wurden
2. ein Ordner angelegt wurde, der sich nicht mehr löschen ließ. (Witzig: Die darunter angelegten Ordner bildeten eine Art Logo)
Nach Auffinden und Durchsicht einiger Logdateien (die ich aufgehoben habe) konnte ich feststellen, dass wohl auch in der Registry Einträge vorgenommen werden konnten (was obigen Punkt 2 erklärt).
In den Logs finden sich wohl noch weitere Aktivitäten, die mich momentan aber nicht sonderlich interessieren, sondern eher:
Wie kann ich solche Zugriffe verhindern?
Ich habe nun wiederum den Server reinitialisiert, das www-root-Verzeichnis mehr oder weniger gesperrt, php 5.1.2 und mySQL 5.0.19 installiert. In der php.ini habe ich nun u. a.
safe_mode = on
gesetzt; jetzt komme ich allerdings nicht mehr mit meinem Standard-php/mysql-Benutzer in mein Internet-Angebot.
Nun also die Fragen:
Welchen Benutzer muss ich mit welchen Rechten worauf anlegen, wenn safe_mode = on bleiben soll?
Was muss noch unternommen werden, damit das Hochladen von Dateien sowie der sonstige Zugriff auf den Server für Unberechtigte unterbleibt?
Weitere Infos:
Windows Server 2003 mit SP1
IIS 6.0 aktiv;
MSSQL deaktiviert;
bisher keine weiteren (lokalen) Benutzer/Gruppen ausser den vordefinierten angelegt;
Remote-Administration
Da ich mir vorstellen kann, dass es da mehr gibt, als mir lieb sein kann, bedanke ich mich schon jetzt für die Hilfestellungen.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 31073
Url: https://administrator.de/contentid/31073
Printed on: April 26, 2024 at 08:04 o'clock
2 Comments
Latest comment
Hi,
deine Ruhe möchte ich haben, denn ich hätte spätestens hier keinen Spaß mehr verstanden.
Richtige Vorgehensweise:
1. Alles sichern
2. Logfiles nach IP etc durchsuchen
3. Anzeige gegen Unbekannt stellen, very wichtig
4. Noch mal sichergehen, dass man alles gemacht hat.
Denke mal darüber nach, wenn die GVU dies spitz bekommt, und dich anzeigt, wegen illegalen Vertreiben von Filmen. Mensch, deine Ruhe möchte ich haben.
So nun aber zu dir. Ich denke nicht, dass einer über Mysql, bzw. PHP gekommen ist, da solche immensen Dateien immer Timeouts bringen würden. Wichtig auf jedenfall in der PHP Ini auf Safemode stellen.
Dieser jenige suchen mittels Programme zugängliche FTP-Pubs, wie sie es nennen und tauschen ihre Adressen untereinander auf. Ein Server der schmal angebunden ist, ist uninteressent. Diese jenigen haben bestimmt dein FTP-Passwort herausbekommen, eventuell Fernwartungs Passwort, oder was auch immer.
In diesem Zuge rate ich dir die Benutzer im Active Direktore anzuschauen, und die nichtbekannten zu deaktivieren, nicht zu löschen solange die Anzeige läuft, sowie dein Passwort zu ändern. Min. 12-16 Stellen, wirre Tasten, Buchstaben Kombination.
Ich kann mich erinnern, dass mein Webhoster vor drei Wochen einen exorbitanten Anstieg von gecrackten Seiten zu verzeichnen vermag, und bat in diesem Zuge die Passwörter zu ändern. Auf meine FTP-Server wurde ebenso um 5-7 Uhr in der früh vor einer Woche ein Angriff gestartet. Leider aber ohne Erfolg, die armen haben das Passwort nicht spitzbekommen, und dannach hat die Firewall die Pforten geschlossen. Zu dumm.
Vielleicht solltes du nochmal kurz deinen Hoster informieren, um Rat bietet. Tut er dies nicht, überlege dir, ob du beim richtigen daheim bist.
mfg
Thomas
deine Ruhe möchte ich haben, denn ich hätte spätestens hier keinen Spaß mehr verstanden.
Richtige Vorgehensweise:
1. Alles sichern
2. Logfiles nach IP etc durchsuchen
3. Anzeige gegen Unbekannt stellen, very wichtig
4. Noch mal sichergehen, dass man alles gemacht hat.
Denke mal darüber nach, wenn die GVU dies spitz bekommt, und dich anzeigt, wegen illegalen Vertreiben von Filmen. Mensch, deine Ruhe möchte ich haben.
So nun aber zu dir. Ich denke nicht, dass einer über Mysql, bzw. PHP gekommen ist, da solche immensen Dateien immer Timeouts bringen würden. Wichtig auf jedenfall in der PHP Ini auf Safemode stellen.
Dieser jenige suchen mittels Programme zugängliche FTP-Pubs, wie sie es nennen und tauschen ihre Adressen untereinander auf. Ein Server der schmal angebunden ist, ist uninteressent. Diese jenigen haben bestimmt dein FTP-Passwort herausbekommen, eventuell Fernwartungs Passwort, oder was auch immer.
In diesem Zuge rate ich dir die Benutzer im Active Direktore anzuschauen, und die nichtbekannten zu deaktivieren, nicht zu löschen solange die Anzeige läuft, sowie dein Passwort zu ändern. Min. 12-16 Stellen, wirre Tasten, Buchstaben Kombination.
Ich kann mich erinnern, dass mein Webhoster vor drei Wochen einen exorbitanten Anstieg von gecrackten Seiten zu verzeichnen vermag, und bat in diesem Zuge die Passwörter zu ändern. Auf meine FTP-Server wurde ebenso um 5-7 Uhr in der früh vor einer Woche ein Angriff gestartet. Leider aber ohne Erfolg, die armen haben das Passwort nicht spitzbekommen, und dannach hat die Firewall die Pforten geschlossen. Zu dumm.
Vielleicht solltes du nochmal kurz deinen Hoster informieren, um Rat bietet. Tut er dies nicht, überlege dir, ob du beim richtigen daheim bist.
mfg
Thomas
Hoied
Ja, da wurdest Du Opfer von einem FTP PUB. Deine Serverip mit FTP Zugang ist per IRC erhältlich für jedermann. Gewisse IRC Channels erlauben einen Download eines Textfiles. Da drin stehen tausende von gehackten FTP's. Tragisch eigentlich. Viele Admins wissen gar nicht das ihr FTP als Umschlagplatz genutzt wird, wird eben auch toll versteckt, mit eigenem Login etc....So laeuft das. Die Hacken FTPs und machen Pubstros draus, also öffentlicher Umschlagplatz quasi. Da wird zum Teil auch mit einer RATIO gearbeitet.
Einfach gut zu wissen, was Du da drauf hattest
Ja, der Thread ist 5 Jahre alt
Ja, da wurdest Du Opfer von einem FTP PUB. Deine Serverip mit FTP Zugang ist per IRC erhältlich für jedermann. Gewisse IRC Channels erlauben einen Download eines Textfiles. Da drin stehen tausende von gehackten FTP's. Tragisch eigentlich. Viele Admins wissen gar nicht das ihr FTP als Umschlagplatz genutzt wird, wird eben auch toll versteckt, mit eigenem Login etc....So laeuft das. Die Hacken FTPs und machen Pubstros draus, also öffentlicher Umschlagplatz quasi. Da wird zum Teil auch mit einer RATIO gearbeitet.
Einfach gut zu wissen, was Du da drauf hattest
Ja, der Thread ist 5 Jahre alt