Dokumentation eines Hacker Angriffs

[nn4l]

Hier eine Analyse eines Einbruchs in einen Apache Webserver:

http://www.securityfocus.com/guest/24043

Der Angreifer hat über ein Sicherheitsloch in einer OpenSource PHP Software eigene Binaries auf den Server kopiert und ausgeführt und dann Unmengen von spam mails von diesem Server aus verschickt.

Man sollte vielleicht mal checken, inwieweit dieser Angriff auf dem eigenen Server auch möglich wäre, insbesondere dann, wenn die eigenen Kunden ihre eigene (buggy) PHP Software uploaden können.

[dodolin]

Da war ich erster: http://www.rootforum.org/forum/viewtopic.php?t=20018
*g*

[relativity]

bitte nicht hauen jetzt, ok?

ich hab mir das ding durchgelesen
und will nur wissen ob ich das richtig verstanden habe
was dort steht.

in dem addon gibt es eine php seite (b2functions.php)
in dem es eine variable gibt (b2inc)
in welche man eine x-beliebige URL eingeben
kann die das script dann included ohne auch nur
mal nachzufragen ob diese vom eigenen server
stammt oder was da drinne steht?

wenn das stimmt dann weiss ich warum ich so gut
wie keinen fremden source verwende auf meinem server
*g*

[theomega]

das könnte einem mit angeschalteten Safe-Mod nicht passieren oder? Mal von einem Bug im PHP abgesehen? Weil passtrough würde dann ja garnicht gehen!

[chris2000]

Der Artikel ist wirklich sehr interessant gewesen. Hast du noch mehr Links zur Sicherheit in PHP-Scripts? Speziell Artikel über MySQL-Instructions sind bestimmt auch ganz lesenswert.

[smur]

das könnte einem mit angeschalteten Safe-Mod nicht passieren oder? Mal von einem Bug im PHP abgesehen? Weil passtrough würde dann ja garnicht gehen!

Was hat das mit safemode zu tun?

[nn4l]

Mich wundert an dem Artikel: Obwohl der Autor kompetent genug ist, den ganzen Angriff bis ins letzte zu analysieren, hat er vorher an seinem System anscheinend nicht einmal den Safe Mode (http://php3.de/manual/de/features.safe-mode.php) aktiviert. Der Safe Mode soll nämlich genau das verhindern, nämlich u.a. dass ein PHP Skript beliebige Linux Binaries ausführt, z.B. cat /etc/passwd oder schlimmeres.

Oder hab ich hier irgendwas übersehen?

[theomega]

genau deshalb habe ich nach dem safemode gefragt! Weil dann kann ein phpscript garkeine anderen programme ausführen!