Newsgroup: it.comp.os.linux.sys
Titolo: mi hanno bucato il sito o il server ?

Ciao all, oggi mi hanno segnalato un problema con un vecchio sito fatto 
da ame alcuni anni fa.
Facendola breve, mi hanno modificato l'index.php aggiungendoci del 
simpatico codice php che sul POST (tipo il form di ricerca), tira fuori 
una sfilza di link a tutti i casinò del mondo :(
index.php con i permessi sballati, non c'è stato verso di modificarlo 
via ftp.
Ora non capisco, i dati provenienti dai vari form, sono tutti filtrati. 
Non ci sono altre anomalie e o problemi.
Il codice malevolo è qui:
http://kailed.net/hack.txt
Secondo voi come possono aver fatto ? Hanno beccato la password e sono 
entrati in ftp ? Bug di apache ?
Il server monta debian etch con php 5.2.0-8+etch16
Ovviamente sia io, sia il sysadmin del server, stiamo ancora 
indagando/controllando..
Suggerimenti ?
Ciao.
-- 
*** Linux user # 198661 ---_ ICQ 33500725 ***
    ***  Home  
http://www.kailed.net
  ***
        ***  Powered by openSUSE  ***

se non fai controlli su quel che si può uploadare è molto semplice uppare un 
file .php e eseguirlo.
ci sono shell, editor, uploader.
tuttecose
-- 
give it away

 uppare un file .php e eseguirlo.
Gli utenti non posso uppare nulla. Gli unici due form che permettono 
l'upload sono nell'amministrazione. Uno di questi accetta solo immagini, 
l'altro è un po' più "largo" in quanto permette l'upload di diversi tipi 
di file. Tutto è possibile ovviamente ma dubito che siano passati di li.
I sorgenti, non li ho mai resi pubblici, quindi solo chi ha accesso al 
server può averli visti..
La ricerca continua...


 entrati in ftp ? Bug di apache ?
Bug di apache escludilo. E' probabile quanto l'eventualità che per un
errore di disco il contenuto dell'inode di quel file  sia divenuto
spontaneamente un hack.
L'accesso fraudolento via FTP è cosa estremamente frequente, di questi
tempi[1], ma non spiegherebbe affatto la tua impossibilità di modificare
il file via FTP: se ce l'hanno uploadato per quella via, ha i permessi
dell'utente FTP.
Altrettanto probabile la sostituzione della pagina originale attraverso
buco lato php, via remote include.
[1] 
http://bofhskull.wordpress.com/2008/10/07/ftp-crack/
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 server puï¿œ averli visti..
Security through obscurity non ï¿œ sinonimo di inviolabilitï¿œ.
Detto questo, ultimamente ho visto parecchie credenziali ftp rubate
mediante malware installato sui client, ma in questo caso in genere
l'attaccante evita di modificare alcunchï¿œ, poichï¿œ verrebbe scoperto
prima.
L'alternativa piï¿œ probabile ï¿œ che abbiano sfruttato proprio qualche
falla del backend per modificare il file.
Questo lo puï¿œ verificare solo chi ha accesso ai log del webserver,
magari incrociando data/ora della mdofica con i log di accesso.

 Davide
Hai altri servizi oltre a Apache e ftp su quel sito?
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615

 Hai altri servizi oltre a Apache e ftp su quel sito?
						 ^^^^ 	
Volevo dire server :-)


 Suggerimenti ?
ah!
nulla vieta che la vulnerabilità sia su un sito nello stesso server.
e tramite qualche paciocco c'è stata una escalation al tuo account

 prima.
Gli accessi via ftp sono stati praticamente nulli negli ultimi mesi. 
Senza contare che ci accedo solo io e penso di avere usato up pc con 
windows due o tre volte al massimo..(negli ultimi 5 anni)
Macchine con antivirus comunque..
Poi c'è la questione dei permessi, modifica di un file via ftp e 
settaggio dei permessi che ne impedisco la modifica all'utente 
proprietario ?!
Da un rapido controllo, non ci sono altri file modificati.
Se sono entrati nell'amministrazione, potevano fare di meglio :)
L'unica cosa fuori posto che ho trovato, è la registrazione di un paio 
di "utenti" con dati anagrafici tipo:
qtHmOrBMXpINeyEyEaC
BiShDMxozSAvW
La cosa "peggiore" che hanno potuto fare, è inserire nel campo "note 
personali" una cosa come questa:
4xxaUQ  sqtplaqpjyru, [url=
http://jyyexuijcljy.com/]jyyexuijcljy[/url
], 
[link=
http://cpsxlrvhdsxg.com/]cpsxlrvhdsxg[/link
], 
http://xosnalmmnhqo.com/
Questo è quello che è rimasto, poi cosa abbiano tentato di inserire non 
lo so.. non mi pare pericoloso..
Utenti che comunque non hanno mai effettuato i login..
Mah..


 Volevo dire server :-)
Non è mica mio il server.. come sia configurato nei dettagli non lo so, 
ci sono le solite cose, ssh, mysql, postfix..
 
Finché non controllo bene, preferisco non postare il link del sito in 
questione. Se qualcuno proprio ci tiene, posso mandarlo in privato.
Se poi qualcuno soffre d'insonnia e vuole tentare di capire qualcosa di 
più su quel server per i fatti suoi, è lo stesso del link con l'hack del 
mio primo post (che poi è quello che si vede in firma).


 ci sono le solite cose, ssh, mysql, postfix..
La macchina è aggiornata?
Hai dato una passata con chkrootkit, rkhunter e similia?
Hai provato a vedere se ci sono delle porte "strane" aperte (netstat -
natp)?
Hai controllato i processi in esecuzione per vedere se c'è qualcosa di 
strano?


 indagando/controllando..
Grazie per questo messaggio. Mi ha indotto e creare immediatamente degli 
script per fare un backup del DB e del server Web.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
   printf $i }'; echo

 via ftp.
L'accesso via ssh è protetto a sufficienza?