ich habe gerade über Google das Board hier gefunden und da ich schon mal viel Infos durch euer Forum sammeln konnte, wollte ich mal ein Szenario vortragen, was mir vor 3 Tagen passiert ist. Mir wurde der Server zum Teil gelöscht und das schlimmste ist für mich, dass ich 0 Ahnung habe, wie das passiert sein könnte.
Wir betreiben auf unserem Root eine Homepage, wo wir Xampp benutzt haben. Da ich davon ausgehe, dass Apachefriends ihr Handwerk verstehen fühlte ich mich damit auch immer recht sicher.
Nun war es kurz vor mitternacht und mitmal schrieb mich einer an, dass unsere Userpics der Homepage fehlten. Ich dachte mir nichts dabei, spielte sie wieder auf und wollte in die Datenbank gehen um dort nachzuschauen, wer jetzt etwas gemacht hat, da wir ein Logscript laufen haben.
Dort angekommen, stellte ich fest, dass die Datenbank sauber gelöscht worden war. Sämtliche DBs der Datenbank hatten 0 Einträge. Auch die Datenbanken, die nichts mit der Homepage zu tun hatten.
Nun beendete ich Xampp und musste erstmal tief schlucken, da unsere gesamte Page mal ebend so weg war. Ein starten war nicht mehr möglich, da wohl einige Dateien fehlten. Auch andere projekte wurden komplett vom Server gelöscht. Nun dachte ich mir ja, dass wäre nicht das Problem, denn es hat ja bei Xampp alles einen Benutzer.
Aber mein puttylogin ging auch nicht mehr, da ich aber noch eingeloggt war mit WinSCP sah ich mir die Ordner an und einige wurden gelöscht (z.b. /bin) vom Rootserver.
Nun ist alles im Eimer, alle Daten sind weg und das leider für immer
Nun stehe ich aber noch vor der großen Frage, wie war das möglich? Wenn ein Script eine Sicherheitslücke hat, dann kann er ja sicher die Page löschen, aber wie bekam er den Hauptlogin für die Datenbank.
Kann man ein sogenanntes "Rootkit" auch per PHP/HTML einspielen?
Und war das ein gezielter Angriff oder gibt es hier irgendwie Leute, die Server mit sicherheitslücken Scannen und wir wurden zufällig ausgewählt?
