Beiträge von droelfvonelf

Fehlerteufel! Hatte mich dabei nicht auf euren Support bezogen, sondern den einer anderen Firma (Name nenne ich jetzt besser nicht).... Sorry wenn das so rübergekommen ist, hatte einfach vergessen das zu erwähnen.

Huch, an den Theard hatte ich ja gar nicht mehr gedacht. Sorry!
Also ich bin jetzt zu folgendem Ergebnis gekommen:
Ich vermute, dass mein PC infiziert worden war. Denn wenige Tage nach der Übernahme des Servers hatte ich eine E-Mail von ebay bekommen, dass mein Account dort gehackt worden wäre. Ich habe dies als Anlass genommen das Thema bei Seite zu legen und den Server zu formatieren, nur wichtige Websites gesichert.

Gruß
Paddy

Hallo!

Ich habe eine kurze Frage zum Debian Squeeze 64Bit Froxlor Image: Ist sendmail dort standardmäßig installiert?
Weil eigentlich verwendet dieses Image doch den MTA Postfix - Jedoch kam mir beim letzten Neustart folgende Meldung entgegen geschossen

Starting Mail Transport Agent (MTA): sendmailstart-stop-daemon: unable to stat /usr/sbin/sendmail-mta (No such file or directory)
/etc/init.d/sendmail: 1287: /usr/sbin/sendmail-msp: not found

Ich hatte in den letzten Tagen mit dem MTA herumgespielt und war jetzt am überlegen ob ich den damit zerschossen hab wenn ich nach dem Paket "sendmail" suche werden mir jedenfalls folgende Pakete noch angezeigt

sendmail-base
sendmail-bin
sendmail-cf

sendmail einfach wieder über apt zu installieren funktioniert nicht da ich mir sonst ins eigene Bein schieße: Der deinstalliert mir dann Postfix, was ja Froxlor braucht

Gruß
Paddy

Ich zitiere einfach mal von Wikipedia und untersütze damit die Aussage meines Vorredners:

Zitat

In Deutschland ist die Beteiligung an DoS-Attacken als "Computersabotage" nach § 303b Abs. 1 StGB mit bis zu drei Jahren Freiheitsstrafe oder mit Geldstrafe bedroht, wenn die Dateneingabe oder -übermittlung in der Absicht erfolgt, einem anderen Nachteil zuzufügen, und dadurch eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, erheblich gestört wird.[12][13] Dementsprechend verurteilte das LG Düsseldorf einen Täter, der im Wege einer DDos-Attacke fremde Server mehrfach lahmgelegt hatte, wegen Computersabotage und Erpressung zu einer mehrjährigen Freiheitsstrafe.[14]

Also würde eine Anzeige dem entsprechend sicherlich Gehör finden!

Gruß
Paddy

Achso okay, dachte das wäre möglich....

Ich benutze Debian Squeeze. Werden hierbei die Sicherheitstechnischen Updates über die Funktion eingepflegt?

Trotzdem stelle ich mir die Frage ob man den Skript der die DDoS Attacke ausgeführt hat zurückverfolgen kann...? Eventuell anhand der Log Information die ich von Netcup bekommen hab? Oder würde etwas dazu im Apache Log vermerkt werden?

Homwer: Apropos Rootkits: Kannst du mir etwas empfehlen um nach denen zu scannen?

KB19: Ich habe regelmäßig apt-get upgrade ausgeführt... dadurch ja. andere Applikationen waren auch auf dem neusten Stand (ts, minecraft etc.)

Homwer: Also die Installation war nicht ausgeführt worden. Daran hatte ich halt fest gemacht, dass nichts passiert ist.... Aber ich vergleiche nochmal. Soweit ich das überblicken konnte, war da aber nichts ungewöhnliches.

Also mein Problem besteht weiterhin: Ich finde einfach kaum Anhaltspunkte was passiert sein könnte :-/
Ich habe jetzt schon die FTP Logs durchgeschaut - das was mir am wahrscheinlichsten erschien - aber kein Ergebnis. Die IPs die da connecten sind mir (die meisten zumindest) bekannt und dürfen connecten. Die anderen die abgewiesen werden sind mir meist unbekannt. Das ist aber auch die geringere Zahl.

Gibt es eine Möglichkeit zurück zu verfolgen wo die Datei/Skript liegt die/der ausgeführt wurde?

Gruß
droelfvonelf

KB19: War eben weg und hab sie einfach so geladen. Aber trotzdem danke

okay, ich verwende erst mal Wordpad und wenn mir das nicht passt dann werde ich Notepad++ benutzen Ist mir schon aus früherer Zeit bekannt :-P.

Dragon: Das war eine blöde Formulierung meinerseits. Sorry! Klar gibt es da viele Möglichkeiten. Wenn ihr auch nicht meine genaue Konfiguration kennt ist es ja so oder so schwer. Aber ich werde jetzt erst mal nach für mich ersichtlichen Schlupflöchern schauen und dann mal weiter sehen.

Wie sieht es eigentlich mit grep aus: Ich habe jetzt eine Win-Version gefunden, nur bin ich mir nicht sicher nach was für Schlagwörtern ich suchen soll. Habt ihr da Tipps?

So habe nun Joomla mal analysiert: Die Installation wurde nicht ausgeführt (habe ich daran festgemacht, dass keine configuration.php vorhanden ist und so die Sachen die typisch für eine Installation wären fehlen).
Mir stellt sich so eben aber auch noch eine Frage: Kann man auslesen wann welcher Script ausgeführt wurde? Weil ich ja von Netcup eine Kernel Information bekommen habe, frage ich mich ob man über den Zahlencode das auf den Script zurück verfolgen kann? Oder ist das ganze anders möglich?

Desweiteren ist mir eben noch etwas zweites eingefallen: Ich meine am 04.01.2012 (ich glaube das Datum ist korrekt, bin mir aber nicht zu 100 % sicher. Wäre aber ein Anhaltspunkt) einen Ausfall gehabt zu haben bei dem der Server einfach abgeschmiert war bzw. nicht mehr angesprochen werden konnte/ nicht mehr reagierte. Als ich beim Support angerufen hatte, wurde mir da mitgeteilt, dass momentan Wartungsarbeiten am VCP stattfinden und dies die Ursache sein könnte. Ist eventuell da jemand in den Server eingedrungen?? Eventuelle Ausfälle am VCP könnten einen durchgang durch die Firewall ermöglicht haben? Ist jetzt natürlich erst mal reine Spekulation, daher frage ich ob es so gewesen sein könnte...

Ich danke euch für eure Mithilfe

Gruß
droelfvonelf

Hallo alle miteinander,

ich habe nun den Server im Rettungsmodus und mir schon einmal den kompletten Ordner /var/logs runtergeladen. Zusätzlich habe ich die Minecraft Server Logs, die vom Teamspeak Server, die von Sockso und die die (ich vermute die sind von Froxlor) im Verzeichnis /var/customers/logs liegen (die sind verdammt groß!). Gleich werde ich mir noch die von der Joomla Installation anschauen und damit auch die configuration.php und andere Speicherorte.

Bei Grep habe ich leider keine Ahnung was das ist . Auch auf der Downloadseite bin ich mir unsicher was ich davon brauch . Denn ihr habt Recht: Die LogFiles sind doch recht viele und vor allem ist das Problem, dass sie im Editor kaum lesbar sind. Kennt ihr dafür ein Programm das die besser sortiert bzw. die Zeilenumbrüche an den vorgesehenen Stellen einfügt??

Gruß
droelfvonelf

Wieso nicht?
Morgen gegen Nachmittag werde ich den Server im Rettungsmodus starten und den Server durchforsten. Anschließend melde ich mich, sollten nicht schon vorher Fragen auftauchen!
Bisher vielen Dank für eure Hilfe und Bemühungen.

Okay danke für eure Mithilfe, das hat mir schon mal geholfen!

Achso! Also ich habe lediglich von Netcup die Info erhalten:

Zitat

Sie oder ein Skript führten ein DDoS auf die IP xxx.xxx.xxx.xxx der [Website]

Mehr kann ich leider auch nicht sagen.

Nur ich frage mich halt, wie der genau dann auf mich kommt und gerade die Lücke mit dem Joomla findet.... Naja kann einfach Pech sein!

Jetzt habe ich noch eine andere Frage: Mit welchen Konsequenzen muss ich rechnen? Irgendwelche seitens der Justiz? Ein Mitarbeiter von Netcup hat mir nur geschrieben, dass wenn so etwas erneut auftritt, dass mir dann der Vertrag gekündigt wird.

fallobst: Meinst du das könnte die Ursache sein? Ich werde morgen mal explizit nach der Joomla Installation schauen ob die eventuell ausgeführt wurde etc.! Danke für den Tipp!

Den habe ich aber nicht mehr. Der Server ist für mich deaktiviert....
Das werde ich machen, sobald ich morgen bei Netcup in den normalen Geschäftszeiten anrufen kann.
Genau das war mein Gedanke... Ist super blöd gelaufen. Aber ich konnte die Joomla Installation dann leider nicht wieder runter nehmen. Muss leider auch gestehen, dass ich in diesem Moment keine Gefahr darin gesehen habe. Aber möglich wärs aus meiner Sicht bestimmt.
Habe ich getan. Mir wird nichts gemeldet.

Die Logs werde ich morgen direkt einmal durchkämmen. Ebenfalls lief TS3 auf dem Server. Habe im Internet gelesen, dass Exploits über den FTP genutzt werden können. Aber da mein Server mit Passwort gesichert ist und so in letzter Zeit keine Leute die mir unbekannt sind / bei denen der Verdacht besteht bösartige Scripts etc., zu installieren auf dem Server waren, würde ich das zunächst ausschließen...

Was heißt beteiligt Mein Server hat einen anderen Server attackiert per DDoS. Anbei das was mir Netcup aus dem Log geschickt hat.

Jan 8 18:10:16 ne412 kernel: [2994477.335871] outgoing rate exceeded: IN= OUT=eth0 SRC=[Mein vServer-IP] DST=[Zielserver-IP] LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=63608 DF PROTO=TCP SPT=35284 DPT=443 WINDOW=5840 RES=0x00 SYN URGP=0

Mein SSH Zugang ist so gesichert, dass ich root Zugriff nur über meine statische IP erlaubt habe.
Alle eingehenden Ports waren auf DROP außer die die ich wirklich brauche. Desweiteren war ESTABLISHED AND RELATED aktiviert. Hatte das ganze über das VCP geregelt.
Habe meine Benutzerverwaltung über Froxlor abgewickelt. Also gab es auch Zugänge für FTP, E-Mail etc. über Froxlor

Nein, das Problem war eher eine hardwaretechnischer Ursache geschuldet .

Danke erst mal für die schnelle Antwort!

Ich habe das Joomla Paket von folgender Seite: J!German - Joomla! 2.5 Deutsch
Da gehe ich eigentlich davon aus, dass dies sicher ist.
Mir war das als "Quelle des Unheils" in den Sinn gekommen, da ja durch die nicht durchgeführte Installation, die Installation praktisch jeder machen könnte bzw. darüber Skripte einfügen? Oder täusche ich mich da?

Von meinem Server aus wurde eine DDoS-Attacke auf einen anderen Server unternommen.

Kannst du mir eventuell weitere Ratschläge geben was ich jetzt tun soll? Ich würde mir morgen den Server im Rettungsmodus starten lassen und dann die LogFiles mal durchsuchen - sofern der Eindringling diese nicht schon längst gelöscht hat...

Hallo liebe Community,

nachdem ich eben erfahren habe, dass mein vServer gehackt wurde, bin ich nun erst mal buff. Wie konnte das passieren? Die Frage stelle ich mir die ganze Zeit durchgehend. Ich hatte eigentlich gedacht, dass mein Server sicher ist und mir so etwas erspart bleiben würde. Denkste! Hatte ihn nach empfohlenen Anleitungen abgesichert und hatte auch mit dem Support Rücksprache gehalten, der mir zustimmte und meinte, dass der Server so sehr gut geschützt ist.
Nun bin ich durchgegangen was ich heute an dem Server alles gemacht habe, was eventuell dazu geführt haben könnte, dass jemand fremdes sich Zugriff zu dem Server verschafft. Als eine der letzten Sachen habe ich Joomla in einen neuen Ordner entpackt und wollte es installieren, als mir selbst zu Hause das Internet versagt ist (lag an einem Problem im Heimnetz). Nachdem ich das Problem im Netzwerk zu Hause behoben hatte, loggte ich mich wieder im Server ein. Da zwischenzeitlich eine neue Aufgabe auf dem Server angefallen war, die dringlicher war als der Aufbau einer neuen Webseite, widmete ich mich zunächst dieser (auf einer anderen Seite auf dem Server sollten Beiträge hinzugefügt werden), als dann plötzlich die Verbindung weg war und mir mitgeteilt wurde, dass der Server gehackt wurde. Jetzt stelle ich mir gerade die Frage: Könnte die offene Joomla-Installation, die noch nicht ausgeführt war, also jeder einrichten konnte, Fruchtboden für solch einen Angriff gewesen sein?

Ich danke euch für eure Hilfe im Voraus. Ich bin um jede Antwort die mich weiter bringt richtig dankbar!

Gruß
droelfvonelf