Hi…
am heutigen frühen Abend ist meine Homepage bei nolimitec.de
gehackt worden ( www.thml.de ). Habe dann mal etwas
nachgeforscht und ein paar komische Sachen gefunden.
IP-Tracking zeigte mir als Herkunft eines Surfers einen
Google-Eintrag in folgender Form:
inurl:.de/admin.php Was bewirkt das ?
Jemand hat mittels Google nach deutschen Webservern gesucht, auf denen die Datei admin.php vorhanden ist. Diese Datei ist vermutlich Bestandteil eines Admin-Frontends, das dein Provider standardmäßig installiert und hat entweder eine Sicherheitslücke, die dem Angreifer bekannt ist, oder
ein Standardpasswort, das hinreichend viele Benutzer nicht ändern.
Und als weitere Strings in der Adresszeile:
www.meineseite.de/admin.php?op=deladmin&del_aid=tommy
www.meineseite.de/admin.php?op=deladmin&del_aid=admin
Das sieht so aus, als hätte er die Benutzer tommy und admin gelöscht, d.h. Du hast keinen Zugriff mehr auf das Frontend - er schon noch…
Obwohl die meta.php nicht geändert ist, stehen in der
erzeugten Startseite u.a. ein andere Titel. Drei META-Tags
sorgen für die Umleitung:
Wie ist sowas möglich. sql-Datenbankeinträge habe ich auch
schon gelöscht.
Haben diese etwas mit dem Problem zu tun, oder löscht Du aus blinder Panik?
Ohne Passwort ist doch sowas nicht möglich oder.
Sicherheitslücken, die das Umgehen einer Passwortabfrage erlauben, tauchen immer mal wieder auf. Wahrscheinlicher ist allerdings, daß das Admin-Frontend ein Standardpasswort hat, das Du nie geändert hast.
Kann am Privider liegen oder habe ich irgendwelche Rechte auf
dem Server falsch gesetzt ?
Wenn Du den Server komplett gemietet hast, bist Du auch komplett verantwortlich. Eine Teilschuld des Providers ist möglich, wenn er Dir den Server wissentlich in einer unsicheren Konfiguration überlassen hat.
Welche Vorkehrungen muß ich treffen, um sowas in Zukunft zu
verhindern ?
- Komprommitiertes System komplett plattmachen und neu aufsetzen
- Nur Programme installieren und insbesondere nur Dienste anbieten, die
a) notwendig sind
b) keine bekannten Sicherheitslücken haben
- Für die Zugänge, die Du selbst verwendest, sichere Passwörter ausdenken
- Alle Zugänge, die Du nicht verwendest, sperren
- Mailinglisten abonnieren, um über neu entdeckte Sicherheitslücken und Patches informiert zu sein
- Patches möglichst schnell einspielen oder notfalls den betroffenen Dienst temporär abschalten, bevor der nächste Angreifer kommt
genumi
