Newsgroup: it.lavoro.professioni.webmaster
Titolo: Ma come hanno fatto??

Mi sono stati azzerati tutti i file con contenuto *index* su tutto iil 
server... i programmi che uso sono i soliti e sono aggiornati.... 
quindi? Da dove hanno dato il comando?
Ed io che li cerco certi comandi e non li trovo.... :|

 quindi? Da dove hanno dato il comando?
Ti hanno bucato. Il modo pi� facile � sfruttare bug, noti o non noti, di 
applicazioni web lato server open source.
Ecco perch� non le uso mai.
Puoi tenerle aggiornate quanto vuoi ma se c'� il bug e qualcuno leggendo 
il sorgente lo scopre, ti buca.


A mio avviso � stato bucato phpBB..... chi mi dice il codicino che ne 
avrei altri da fare saltare?? :P


Era un server di test, come quello SMTP? :P
G.


Linux... ora tutto a posto, per fortuna avevo un backup di 3 ore 
prima.... ma caxxo.... :\
Tutti i nomi file con contenuto *index* messi a 0 Byte....
Bona dopo pranzo ne cerco una causa meglio....

Il Thu, 03 Sep 2009 11:42:25 +0200, Euclide scrisse:

ROTFL.
Darsi all'agricoltura biologica è sempre una valida alternativa.

> Darsi all'agricoltura biologica � sempre una valida alternativa.
hmm... sei sicuro che possa essere un concime efficace ?

 Ed io che li cerco certi comandi e non li trovo.... :|
potresti dare una occhiata al man del comando "find" (su linux ovviamente)


Vedo che ne hai esperienza!


O si certo e cosa dovreicercare??
Il manuale? E tu cosa cerchi? Trovato?

 
Si certo la mia cacca serve proprio a quello, la tua invece � acida!

 Si certo la mia cacca serve proprio a quello, la tua invece � acida!
E chi ha mai parlato di deiezioni (a parte tu) ?
Io pensavo ad un approccio diverso
f/up ove appropriato; dovrebbero nominarti sindaco di quel gruppo

quindi?
Quindi CREDI che siano programmi solidi e aggiornati. Ma almeno uno non
lo e'.
Come prima cosa - l'utente Web Server avra' mica i permessi di SCRIVERE
sul filesystem, eccetto che in zone ristrette tipo "cache" o "temp", in
cui l'accesso diretto pero' e' vietato via .htaccess?
Se ce l'ha, una quantita' di possibili exploit diventano potentissimi.
Potrebbe essere successo che un exploit abbia funzionato a meta', e non
sia riuscito a scrivere correttamente negli "index" quello che l'autore
voleva scriverci.
Come controllo di integrita', anti-intrusione e backup, come sei messo?
Leonardo
-- 
The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.

 
Il backup era di 3 ore prima, per fortuna noon faccio grossi movimenti e 
eseguo 2/3 backup settimanali, in pratica ho un solo sito che in questo 
lasso di tempo subisce cambiamenti. E' un sito in php me � proprietario 
e quindi per ora non lo indago.

 e quindi per ora non lo indago.
Al momento ho un paio di accessi sopetti dalla germania e dall'saudi 
arabia. :\

"Euclide" <eucl...@Mlive.it.invalid> ha scritto nel messaggio 
news:h7o4er$ra1$1...@news.eternal-september.org...

Intendi tutti i file index.xx presenti in varie cartelle di un solo dominio 
o di tutti i domini? da come hai scritto mi sembra che si siano azzerati 
tutti gli index di tutti i domini... questo fa supporre che tutti i file e 
cartelle dei vari domini abbiamo lo stesso proprietario: � vero questo? se 
cos� fosse basta che ti buchino un portale per poi girare indisturbati su 
tutte le altre cartelle dei vari domini.
Se uno buca CMS dovrebbe poter fare danni solo ed esclusivamente su quel 
sito, non dovrebbe poter girare indisturbato dappertutto, a meno che i 
permessi di cartelle e file Utente/Gruppo dei vari domini siano identici 
(esempio chown apache:apache). Un buon sistema per tenere isolati i domini � 
quello di usare ad esempio suPHP, in modo che gli script vengoao eseguiti 
dall'utente per il proprio account. In caso di attacco potrebbe essere 
compromessa la funzionalit� del solo account destinatario dell'attacco 
preservando tutti gli altri utenti del server
-- 
INVY
www.cyberspazio.eu
Demo Content Management System
www.cyberspazio.org
Servizi WEB Hosting 

 
Finora non mi era capitato e mi sembrava abbastanza inutile (+ o -) 
stare a settare un untente FTP proprio per ogni dominio.
Il server in pratica lo uso solo io e quidni sono tutti con il mio 
utente che poi � l'utente admin.
Ovvio che se intendi pi� account di pi� utnti non ci sono, uso solo io 
il server per quanto riguarda carico e configurazione script.
Ma arrivati a un certo punto mi toccher� fare un utente per ogni dominio 
dove carico un CMS.....
Per praticit� ed essendo da solo a usare il server non ho creato tanti 
FTP quanti domini.
Al momento attuale risulta anche abbastanza impraticabile, ma vedr�, in 
quanto mi tocca poi reinstallare una decina di CMS.....

 quanto mi tocca poi reinstallare una decina di CMS.....
A ripensarci basterebbe un chown recursivo via telnet? :-?

 quanto mi tocca poi reinstallare una decina di CMS.....
E' sempre una buona pratica isolare i domini, al limite si dovrebbe farlo 
pure con i sottodomini. Il problema si pone sopratutto quando girano dei 
CMS, che hanno necessit� di avere cartelle e file scrivibili. Non sono tanto 
i CMS in s� che sono facilmente bucabili, ma i componenti o moduli 
aggiuntivi che di solito non si aggiornano quasi mai. Inoltre diversi moduli 
o componenti aggiuntivi dei vari CMS sono realizzati da un unico 
sviluppatore, e a volte capita che dopo un po' non si interessi neppure pi� 
a svilupparlo o renderlo pi� sicuro.
Il CMS pi� bucabile � stato, non so se lo � ancora, il fully modded phpBB 
(con phpbb2) e questo non perch� phpbb2 era un cattivo forum, ma per via che 
aveva incluso decine e decine di moduli aggiuntivi che ne faceva un 
colabrodo!


sei sicuro di stare bene ?
tu dici:
 >> Mi sono stati azzerati tutti i file con contenuto *index* su tutto iil
 >> server...
 >
 >> Ed io che li cerco certi comandi e non li trovo.... :|
e io ti dico che con una sola riga della shell lo puoi fare, tramite il 
comando find....  perch� mi devi mandare a quel paese ????

 Ok posso credere, ma fra wordpress, phpBB e Zencart chi è il colpevole?
se non hai cambiato il nome alla directory admin e messo le patch zencart 
sta facendo molti scherzi ultimamente
http://www.zen-cart.com/forum/showthread.php?t=130161
di phpbb non mi sembra di aver letto niente di simile, naturalmente dando 
per scontato che come hai detto hai tutto aggiornato
wordpress idem
poi sai... basta anche una configurazione errata in qualche servizio, sono 
tante le variabili in gioco
-- 
:cf

 phpBB (con phpbb2) e questo non perch� phpbb2 era un cattivo forum, ma 
Ritorna quanto ho intuito che sono passati da phpBB.
Comuqnue a livello di utenti non c'� stato problema, nel senso che ho 
appena notato che anche le statistiche con utente ftp:ftp (che non 
sovrascrivo con admin:admin) e un altro utente di un terzo livello che 
ho dato a gratis per provare, TUTTI, qualsiasi file con contenuto index 
messo a 0 byte.


Perch� nn cerco un comando o un programma, cerco come si bucano i 
forum... :P
Altrimenti di solito usavo il "whereis"

 
Di zencart ho 2 installazioni una con la cartella admin rinominata, in 
quanto avevo letto il forum e l'altra come installazione di esempio ed 
era da mettere a posto in quanto ci feci degli esperimenti di templates 
e non funzionava correttamente.


A proposito, sto anche ripristinando una installazione di joomla che non 
ho fatto io, quella con altro utente e dato spazio per "giocare".... :-?


Controllando quindi mi hanno cambiato l'utente a tutti i file e cartelle?
ma nello stesso tempo i permessi restano gli stessi in quanto restorando 
i siti alcuni file che probabilemtne sono stati messi dal CMS non si 
possono sovrascrivere.....

 Altrimenti di solito usavo il "whereis"
stai scherzando vero .. ?

 stai scherzando vero .. ?
O certo. Ma il find non lo usavo molto.
Sono ridotto all'essenziale sul server. Oggi ho girato a mano un po' 
alla ricerca dei log e cercare di capirci qualcosa.

 ho fatto io, quella con altro utente e dato spazio per "giocare".... :-?
sinceramente prove ed esperimenti li farei in postazioni fuori rete, o 
almeno proteggere l'area anche in altri modi che non i soliti dei vari 
programmi. 
Io una volta con il pensare "faccio solo un test" mi ritrovai con ftp bucato 
:-(
-- 
:cf


Si ma essendo che hanno in una qualche maniera toccato tutti gli utenti 
presenti sul server, anche su un server di dimensini grandi (non il mio) 
sarebbe successo lo stesso?
Anche perch� al momento li posso fare traslocare altrove... e siccome 
hanno fatto una installazione molto grande per un sito che in realt� 
sono 4 paginette in joomla, li maderei davvero a fare danni altrove.... 
ma vorrei capire se sono o meno stati loro.