Ohje, mein Server wurde offenbar schon wieder gehackt. Mir ist aufgefallen, dass die Systempartition voll lief. Ein Blick in ps- ax offenbarte mir folgendes:
Wie gehe ich am besten vor um herauszufinden, wie der Angreifer auf den Server eindringen konnte? Standardrootkits konnte ich über rkhunter keine finden.
Danke im Vorraus!
Last edited by tofa on 2006-03-24 12:46, edited 1 time in total.
Bei dem vom Script heruntergeladenen ping handelte es sich um Backdoor.Linux.Small.al, allerdings kann ich es nirgends auf dem Server finden.
Und noch ein großes Problem: Die Hauptpartition / ist 34 GB groß und angeblich voll, wenn ich aber mit du -cah / komme ich gerade mal auf 6 GB. Wie ist diese Differenz zu erklären? Ob wohl ein Rootkit installiert ist, er Dateien vor du verbirgt.
Leider habe ich nur per SSH Zugriff auf den Server und kann nicht einfach ein Notfallsystem mounten, um die Partition zu untersuchen. Welche Möglichkeiten habe ich die Speicherfresser zu finden und etwaige rootkits zu eliminieren, die wie clamscan, rkhunter und chkrootkit nicht gefunden werden konnten?
tofa wrote:Leider weiß ich nur nicht, wie ich die verursachten Schäden ohne komplette Neuinstallation in den Griff bekommen soll.
Da Du diese Frage nicht selbst beantworten kannst: Gar nicht!
Es bleibt Dir nur eine Neuinstallation mit anschliessenden und kontinuierlichen Updates aller installierten Software (inklusive aller Scripts). FAQ: http://www.rootforum.org/faq/14_183_de.html
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Joe User wrote:
Es bleibt Dir nur eine Neuinstallation mit anschliessenden und kontinuierlichen Updates aller installierten Software (inklusive aller Scripts). FAQ: http://www.rootforum.org/faq/14_183_de.html
Hallo mal,
wie mache ich das am besten, dass ich alle sicherheitsupdates auch mitbekomme und die dann automatisch installiert werden.
Vielleicht per Cronjob? oder gibts da ne coole idee, jetzt z.b. für ein debian system?
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Auf die Software, die du nicht aus den Debian-Quellen installiert hast, musst du wohl oder übel selbst aufpassen. Die meisten größeren Projekte im Server- bzw. Internet-Bereich bieten eigene Sicherheits-Mailinglisten oder die Möglichkeit, die sicherheitsrelevanten Bugs per Bugtracker zu abonnieren.
Man wird es doch schaffen einmal am Tag sich kurz einzuloggen und einmal apt-get update && apt-get upgrade einzutippen? Und ausserdem kann man sich Security Bulletins holen um neuste Updates zu sehen (Beispiel: http://secunia.com/)
