fohnbit
May 02, 2023 at 13:16:41 (UTC)
view4423
view20
0
Goto Top

Gehackter Webserver bereinigen

GermansolvedQuestionServer
Hallo!

Auf einem unserer Webserver wurde wohl gehacked. Es befindet sich im web root:
ldfzgasx.php

Ein Teil des Inhalts:
'I could not have a more welcome visitor 64 group of zain bani'

Wenn ich die Datei lösche, wird Sie nach ein paar Sekunden neu erstellt ... da läuft wohl ein Dienst?

Weiß jemand wie ich dies bereinigen kann?

Server: Ubuntu Server 18

Danke!
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 6985843204

Url: https://administrator.de/contentid/6985843204

Printed on: April 27, 2024 at 10:04 o'clock

20 Comments
Latest comment
Goto Top
Member: chiefteddy
Solution chiefteddy May 02, 2023 at 13:19:49 (UTC)
Goto Top
Platt machen und neu aufsetzen.

Alles andere ist nicht sicher!

Jürgen
heart4
Member: em-pie
em-pie May 02, 2023 at 13:20:47 (UTC)
Goto Top
Moin,

  1. Finde die Schwachstelle. Irgendwie musst du dir das Zeug eingefangen haben. Bringt nichts, wenn du das hinterher alles wieder sauber hast und du dir den Mist neu einfängst.
  2. Setze den Server von Grund auf neu auf.
  3. Anschließend die Nutzdaten (nach einem intensiven Scan) neu importieren.

Mehr wirst du nicht machen können...

Gruß
em-pie
heart1
Member: Fohnbit
Fohnbit May 02, 2023 at 13:22:24 (UTC)
Goto Top
Danke .. Neuinstallation ist natürlich geplant ... aber bis alles parallel neu eingerichtet ist, wollte ich den aktuellen ausmisten ... dachte ich kann rückverfolgen wer am Server die Datei erstellt.
Member: chiefteddy
chiefteddy May 02, 2023 at 13:25:47 (UTC)
Goto Top
Na, das übliche Procedere: schauen, welche Dienste laufen, unbekannte Dienste deaktivieren und prüfen, was "passiert".

Jürgen
Member: Lochkartenstanzer
Lochkartenstanzer May 02, 2023 updated at 14:25:07 (UTC)
Goto Top
Moin,

  • Server vom Netz nehmen
  • Löschen
  • Frisch aufsetzen
  • Daten von Backup übernehmen. (Natürlich vorher überprüfen).

Alles andere ist Murks

lks
Member: Lochkartenstanzer
Lochkartenstanzer May 02, 2023 updated at 13:30:14 (UTC)
Goto Top
Zitat von @Fohnbit:

Danke .. Neuinstallation ist natürlich geplant ... aber bis alles parallel neu eingerichtet ist, wollte ich den aktuellen ausmisten ... dachte ich kann rückverfolgen wer am Server die Datei erstellt.

Naja,

bei einem übernommenen Server ist das müßig, Wenn der Angreifer das richtig gemacht hat, siehst Du überhaup keine Spuren, welches böse Programm wann was macht.

Du kannst den server höchstens in ein kontrolliertes Subnetz stellen, das ncihts anderes als die firewall enthält und dann schauen, ob Du üebr die Kommunikation noch etwas rausfinden kannst.

Alternatoiv offline mit forensischen Tools auf die Kiste (oder deren Image) losgehen

lks
Member: Fohnbit
Fohnbit May 02, 2023 at 13:29:50 (UTC)
Goto Top
ok danke ... dann muss das Plattmachen vorgezogen werden.
Member: Lochkartenstanzer
Lochkartenstanzer May 02, 2023 at 13:32:01 (UTC)
Goto Top
Zitat von @Fohnbit:

ok danke ... dann muss das Plattmachen vorgezogen werden.

Du kannst ggf. vorher ein Image ziehen, damit du das u.U. mit forensischen Tools untersuchen kannst, bzw. jemanden beauftragen kannst, das zu machen. Am live-system ist es halt immer kritisch, weil Du nicht weißt, welche Daten Du wirklich zu sehen bekommst.

lks
Mitglied: 6247018886
6247018886 May 02, 2023 updated at 13:49:22 (UTC)
Goto Top
Zitat von @Lochkartenstanzer:
  • Daten von Backup übernehmen.

Achtung, diese Dinger platzieren oftmals auf den Seiten versteckten JavaScript- und oder PHP-Code, man muss also sein Backup vorher auch verifizieren und die Datenbank welche die Inhalte der Seiten enthält komplett durchgehen/scannen, bevor man dieses wieder zurück spielt.
Denn sonst reicht ein Aufruf einer dieser Seiten und es geht wieder von vorne los.

Cheers briggs
Member: Fohnbit
Fohnbit May 02, 2023 at 13:53:16 (UTC)
Goto Top
Ich habe einige Scanner laufen gehabt .... aber das php im root hat keiner angezeigt.

Gibts Empfehlungen für eine gute Scan Software?
Mitglied: 6247018886
6247018886 May 02, 2023 updated at 15:04:11 (UTC)
Goto Top
Ich habe einige Scanner laufen gehabt .... aber das php im root hat keiner angezeigt.
Wenn du ein CMS einsetzt werden die Seiten zum Großteil der Systeme dynamisch aus den Inhalten der Datenbank zusammengesetzt, da findest du meist nichts in den statischen Dokumenten! Du musst zusätzlich deine Datenbank-Inhalte verifizieren. Einem Scanner würde ich nicht blind vertrauen der kann auch was übersehen, gerade die Codes sind sehr unterschiedlich aufgebaut und jedes mal anders da diese obfuscated aus random strings generiert werden. Am Ende des Tages kannst du nur sicher sein wenn du dich selbst davon überzeugt hast das alles clean ist.

Meine Glaskugel sagt, ein weiteres Wordpress Opfer ...
Member: Lochkartenstanzer
Lochkartenstanzer May 02, 2023 at 14:24:10 (UTC)
Goto Top
Zitat von @6247018886:

Zitat von @Lochkartenstanzer:
  • Daten von Backup übernehmen.

... man muss also sein Backup vorher auch verifizieren ....

das setzte ich natürlich voraus, aber gebe zu, ich hätte es dazuschreiben sollen.

lks
Member: Lochkartenstanzer
Lochkartenstanzer May 02, 2023 at 14:26:33 (UTC)
Goto Top
Zitat von @Fohnbit:

Ich habe einige Scanner laufen gehabt ....

Online-Scanner oder offline?

Mit Online-scannern hast Du keine chance.

lks
Member: tgvoelker
tgvoelker May 02, 2023 at 15:00:28 (UTC)
Goto Top
Du kommst mit einer "Scansoftware" nicht wirklich weiter. Ist das Webspace oder ein eigener Webserver?
Member: Vision2015
Vision2015 May 02, 2023 at 18:05:24 (UTC)
Goto Top
Moin...
Zitat von @Fohnbit:

ok danke ... dann muss das Plattmachen vorgezogen werden.
und natürlich alle... wirklich alle zugangsdaten ändern!

Frank
Member: Fohnbit
Fohnbit May 03, 2023 at 07:16:53 (UTC)
Goto Top
Hallo!

Es läuft ein Magento 2 Shop auf dem Server. Ist ein virtueller Webserver von einem Provider mit vollem SSH Zugriff.

Zugänge wurden als erstes geändert ... aber wie schon gesagt, alles platt machen. Backups existieren nur zum Teil, aber die Anpassungen können ja vom alten rauskopiert werden.
Member: chiefteddy
chiefteddy May 03, 2023 at 07:19:37 (UTC)
Goto Top
Vorsicht! Alles was vom alten System "rauskopiert" wird, kann kompromittiert sein und das neue System wieder infizieren.

Jürgen
Member: Fohnbit
Fohnbit May 03, 2023 at 07:30:52 (UTC)
Goto Top
Zitat von @chiefteddy:

Vorsicht! Alles was vom alten System "rauskopiert" wird, kann kompromittiert sein und das neue System wieder infizieren.

Jürgen

Ja natürlich ... es geht aber um den selbst eingefügten php code ... der sollte überschaubar sein und "leserlich"
Member: chiefteddy
chiefteddy May 03, 2023 at 08:05:17 (UTC)
Goto Top
Aber genau um solchen Code geht es.
Zeile für Zeile überprüfen, ob da etwas steht, was da nicht hingehört.

Jürgen
heart1
Member: Vision2015
Vision2015 May 03, 2023 at 17:59:49 (UTC)
Goto Top
Moin...
Zitat von @chiefteddy:

Aber genau um solchen Code geht es.
Zeile für Zeile überprüfen, ob da etwas steht, was da nicht hingehört.
oder die Tür aufmacht für Gäste face-smile

Jürgen

Frank
GermansolvedQuestionServer