סוגיית שרת שנפרץ

[chagold]

אתר וורדפרס של לקוח קיבל הודעת שגיאה שאין חיבור לdb. אתחלתי את השרת ואז האתר עבר לשגיאה 404 של דף שנוצר ע"י מנוע שלא היה מוכר לי (ולא היה מתוך התיקייה של הוורדפרס שאליה האפאצ'י האזין). גם כשכיביתי את האפאצ'י הדף עדיין היה פעיל. אין ngin-x בשרת שם.
רציתי לקחת את המסד נתונים לשרת חדש, אבל אחרי הייצוא והייבוא התברר שהמסד הקיים הוא כמעט ריק (אולי קוראים למה שהיה שם ריק לגמרי, אני פשוט לא יודע איך אמור להיראות מסד מרוקן. אבל בכ"א עיקר נתוני הוורדפרס לא היו שם). מזכיר לי את סגנון הפריצה שהיתה לפני שבועיים לuPress.

שאלות:

1. איך יתכן שהאתר יעבוד אחרי שהאפאצי מכובה? הוא מנותב לשרת אחר ומשם הוא מציג 404?
2. איך אני יודע מה גרם לפריצה? יש לי לוגים אבל לא יודע לזהות מבין הפעולות מה הורס.
   תודה

[nigun]

@chagold
שרת שיתופי או VPS?
אם זה VPS? תבדוק מה התהליכים שרצים כרגע
נראה לי שיש פקודה שבודקת איזה פורט תפוס ע"י איזה תוכנה

[chagold]

@nigun

[clickone]

@chagold
שים לב בתמונה, שיש לך חיבור SSH פעיל מסין
https://ipinfo.io/218.92.0.249

[clickone]

@chagold
לדעתי עזוב כעת את הווב שלא עובד, תתחיל עם הדלתות האחוריות
מה הפלט של lastb?
אתה יכול גם לנסות לבדוק מה קורה ב

tail - f /var/log/auth.log

למרות שסביר שאם יש להם גישה לשרת שלך עם SSH אז התוקפים לא מנסים יותר.
אא"כ יש תוקפים נוספים באיזור

[clickone]

כמו כן תנסה לראות מה קורה כאן

/var/log/apache2/error.log
+
/var/log/apache2/access.log

וגם תנסה לראות במידה ולא רוקנו לך את התיקייה של WWW אם יש שם קבצים שאתה לא מכיר

ועוד משהו שאני בדקתי בעבר במקרה כזה, מה הקבצים החדשים שנוצרו ב48 שעות האחרונות

[chagold]

@clickone אמר בסוגיית שרת שנפרץ:

מה הפלט של lastb?
העליתי מהשבוע האחרון. אם זה לא מספיק (אעלה בעוד קבצים).
lastb1.txt

lastb2.txt

אתה יכול גם לנסות לבדוק מה קורה ב

tail - f /var/log/auth.log

==> standard input <==

@clickone אמר בסוגיית שרת שנפרץ:

כמו כן תנסה לראות מה קורה כאן

/var/log/apache2/error.log
+
/var/log/apache2/access.log

ניסיתי ואני לא מבין.

וגם תנסה לראות במידה ולא רוקנו לך את התיקייה של WWW אם יש שם קבצים שאתה לא מכיר
לא רוקנו

ועוד משהו שאני בדקתי בעבר במקרה כזה, מה הקבצים החדשים שנוצרו ב48 שעות האחרונות

בכל זה, לא חשוב לי השרת, אני יכול לזרוק אותו (אא"כ יש סיכוי לשחזר את הDB שזה החשוב כאן). השאלה היותר מהותית בשבילי - מאיפה יש להם גישה לSSH והאם זה מסכן את שאר השרתים שלי?

[chagold]

@clickone אמר בסוגיית שרת שנפרץ:

@chagold
שים לב בתמונה, שיש לך חיבור SSH פעיל מסין
https://ipinfo.io/218.92.0.249

טוב בדקתי כעת בשרת נוסף, ויש לו ג"כ כניסות SSH משרתים בסין וארגנטינה...
כרגע אני מכבה הכל.

איך אני מטפל בזה?

[yossiz]

@chagold האם אתה נכנס ל-SSH על ידי סיסמה או מפתח ציבורי/פרטי?

[chagold]

@yossiz סיסמא

[yossiz]

@chagold חזקה?
(כלומר, שזה לא מופיע כאן: https://haveibeenpwned.com/Passwords, ועם אורך מכובד)

בכל מקרה כדאי לא ליכנס עם סיסמה אף פעם. כלומר להשבית את האפשרות של כניסה עם סיסמה.
וגם להשבית את האפשרות של כניסה כרוט דרך SSH
וגם להגדיר סיסמה חזקה עבור sudo
וגם אם זה אפשרי לחסום בחומת האש את הכניסה ל-SSH ולהשאיר פתוח רק ל-IP שלך

יש בוטים שעוברים כל הזמן ברחבי האינטרנט ומנסים סיסמאות על שרתים עם SSH פתוח

[chagold]

@yossiz תודה. אטפל אי"ה מיד אחרי שבת.
מעבר לזה איך אני אמור לסרוק את השרתים לדעת שאין לי קודים זדוניים?
(זה יכול להיות שחודשים לא שמתי לב).
כדאי להחליף את כל השרתים?

[yossiz]

@chagold אמר בסוגיית שרת שנפרץ:

כדאי להחליף את כל השרתים?

אם זה לא יקר מדי (מבחינת טירחה) בשבילך זה הכי מומלץ

[nigun]

@yossiz
אם מגדירים כניסה עם מפתח
למה להשבית את הכניסה כרוט + חסימת פורט 22?
והאם יש בעיה אם מגדירים כניסה עם סיסמה
ומגדירים רשימה לבנה בחומת האש?

[clickone]

@chagold רק עצה ממני
אל תילחץ. (וגם אל תחשוב על זה בשבת.... - וזה קשה....)
לפעמים הלחץ בעניין הזה מוציא אותך מדעתך, ואז אתה מקבל החלטות שגויות.
אם זה לא הסטרי שהשרתים יהיו באוויר, אז לא נורא שיהיו למטה קצת.
תעביר שרת אחרי שרת. בעדינות ורוגע (וזו הזדמנות גם ליישר קו עם כל מיני עידכונים ודברים שתמיד דחית)

אם זה שירותי זמן אמת שחשוב שיהיו באוויר כל הזמן, אז זה קצת יותר בעייה.
וכמובן לא לשכוח! לגבות ושוב לגבות! כל הזמן.

(לדעתי אם אתה מתחיל דרך חדשה בשרתים הייתי מציע גם שתעבור לסקלוואי מדיגיטל אושן - אני אישית אוהב אותם יותר)

[clickone]

@nigun
אין בעייה לכאורה ב2 הדברים שהזכרת.
אבל אל תשכח שכל המתקפות האלו גם מכבידים על השרת.
את פורט 22 אני אישית מסנן בפיירוול של סקלווי וOVH עוד לפני השרת (בעיקר בגלל הפחד שהIP שלי ישתנה)

[nigun]

@clickone אמר בסוגיית שרת שנפרץ:

(בעיקר בגלל הפחד שהIP שלי ישתנה)

למה אתה לא משתמש בשיטה שלי?

[yossiz]

@nigun אמר בסוגיית שרת שנפרץ:

אם מגדירים כניסה עם מפתח
למה להשבית את הכניסה כרוט + חסימת פורט 22?
והאם יש בעיה אם מגדירים כניסה עם סיסמה
ומגדירים רשימה לבנה בחומת האש?

אין בעיה. יש כלל באבטחה שנקרא defense in depth. לפי הכלל הזה מה שלא צריך להיות פתוח שיהיה סגור בברירת מחדל. לפתוח רק לפי הצורך.

[clickone]

@nigun כי תמיד יישאר השרת הראשון ...
אם יפרצו אליו אז משם יגיעו לשאר (כבר קרה למישהו שאני מכיר והנזק היה המון כסף)
אז לכן אני משתמש עם הסינון כתובות נכנסות של סקלוואי וOVH, ו"הם" כמו השרת הראשון שלי

אבל בהחלט השיטה שלך מעניינת ונוחה

[nigun]

@clickone
את הגישה מהשרת הראשון לשאר אפשר לעשות עם קוד קל להקלדה.
ואם אני יראה הרבה נסיונות כושלים מהשרת הראשון לשני אני אדע מיד שיש כאן בעיה.

אבל אם יש לך ניהול נוח מהחברה, אז למה לא?