סוגיית שרת שנפרץ

[clickone]

@chagold אמר בסוגיית שרת שנפרץ:

טוב בדקתי כעת בשרת נוסף, ויש לו ג"כ כניסות SSH משרתים בסין וארגנטינה...

בעצם, יכול להיות שהלחצתי אותך לחינם..
אולי מה שאתה רואה זה בקשה לSSH עם המשתמש ROOT מסין, אבל לא שיש כעת סשן פעיל אלא רק פתוח (לבקשה שאולי נכשלה)
יותר מדוייק שתשתמש עם who או who -a
סליחה

כמובן כל עוד שאתה לא בטוח הכי טוב זה לחשוד, וכמובן לחסום....

[nigun]

@chagold
אתה יכול לבדוק איזה פורטים בשימוש עם
lsof -i
זה טוב בשביל לראות האם אפאצ'י רץ או משהו אחר
לא בשביל לבדוק האם יש כניסה מסין דרך SSH.

[chagold]

@clickone אמר בסוגיית שרת שנפרץ:

אולי מה שאתה רואה זה בקשה לSSH עם המשתמש ROOT מסין, אבל לא שיש כעת סשן פעיל אלא רק פתוח (לבקשה שאולי נכשלה)
יותר מדוייק שתשתמש עם who או who -a

אכן בזה לא רואים חיבורים פעילים מסין.

בכל אופן עדיין לא הבנתי איך האתר הציג תוכן למרות שאין לו אפאצ'י. (עכשיו הוא כבר לא מציג את ה404, רק דף של שגיאת ssl.

זה הפלט של ה lsof -i

[chagold]

@yossiz אמר בסוגיית שרת שנפרץ:

וגם אם זה אפשרי לחסום בחומת האש את הכניסה ל-SSH ולהשאיר פתוח רק ל-IP שלך

ברירת מחדל, יש ענין לחסום תעבורה יוצאת או רק נכנסת?

[yossiz]

@chagold רק נכנסת.

[nigun]

@chagold
רואים שם את litespeed על פורט 80/443
יש מצב שאתה התקנת את זה?

[chagold]

@nigun הדף 404 באמת שלהם. לא התקנתי.

[nigun]

@chagold
מה קורה אם אתה עוצר את litespeed ומפעיל מחדש את אפאצ'י?
זה אומנם לא משנה כ"כ כי אם נפרץ לך הרשת אתה במילא רוצה להקים חדש
אבל מעניין מה הלך שם?

[chagold]

@nigun כרגע אני בבדיקת השרת החדש (שהופעל על הגיבוי).
שגם שם היה את litespeed. כביתי אותו והאפאצי מריץ רגיל את האתר.
אני יצטרך להקים שרת חדש נקי.
אבל אני בעד לעשות ניתוח פתלוגי.

[nigun]

@chagold
ומה עם המסד נתונים?

[chagold]

@nigun מה הכוונה?

[nigun]

@chagold
כתבת שנמחק לך מידע
מה קרה עם זה?

[chagold]

@nigun זה היה אתר חדש שעמד לעלות לאויר. את המסד שנמחק לא יכולתי לשחזר, אבל היה גיבוי מלפני שבוע. ככה שהנזק לא היה בשמים. רק צריך לדאוג ללהבא.

[nigun]

@chagold
איך אתה יודע שאין לך נוזקות בגיבוי?

[chagold]

@nigun זה כתבתי לעיל שגם שמה היה litespeed, ואם כן היה כנראה איזו כניסה, ולכן אני צריך לחלץ את המסד מגיבוי + הוורדפרס לשרת נקי חדש.

[nigun]

@chagold
איך תעשה את זה?
אם אתה מעתיק את הקבצים של וורדפרס
יכול להיות שם איזה קוד זדוני שילווה אותך גם לשרת החדש.

[chagold]

א. בגדול אתה צודק, אבל אין לי הרבה ברירות.
ב. PHP לא רץ ברקע כל הזמן אלא לפי קריאה, ואני רוצה לנחש שהתקיפה אינה בקובץ PHP (שאינו רץ כל הזמן) אלא בקובץ שיכול לשבת בצד ולהמתין. ולעומת זאת וורדפרס הוא בקבצי PHP אז מקוה שלא יועתק עם זה. (ובפרט אחרי שאין להם גישה כרגע לשרת החדש).
ואם הבעיה היא מהתוספים אז בכל מקרה אין לי ברירות. רק לעדכן.

[nigun]

@chagold
יש שתי סוגי נוזקות

1. קובץ PHP שפשוט מחכה לקריאה מבחוץ
2. תוכנה נוספת שרצה בנפרד מPHP ועושה ככל העולה על רוחה

לגבי 2 לכאורה אם אתה מעתיק את הכל לשרת חדש אתה מוגן
לגבי 1 אולי יעזור לעדכן את התוספים אבל לא בטוח
כי לכאורה מספק לדחוף קובץ שלא קשור בכלל לוורדפרס
ואם אתה לא שם לב אליו, תעדכן את וורדפרס מאה פעמים, וזה לא יעזור לך.

אולי יש איזה אנטי וירוס שסורק את כל הקבצים ומוצא קבצי PHP בעיתיים.

[chagold]

@nigun אמר בסוגיית שרת שנפרץ:

כי לכאורה מספק לדחוף קובץ שלא קשור בכלל לוורדפרס
ואם אתה לא שם לב אליו, תעדכן את וורדפרס מאה פעמים, וזה לא יעזור לך.

את אותו הקובץ שהם שתלו בוורדפרס, הם צריכים לגשת אליו. וצריכים לדעת שהוא קיים בשרת שלי. ולכאו' הפריצה היתה אקראית וא"כ אני פחות חושש שיחפשו את זה בשרת החדש. (אבל הכל יכול להיות).
מה שגם אין לי מה לעשות כיון שאין לי עם מה להשוות את הקבצים.
רק שאצטרך לעקוב יותר. ולהריץ גיבוי קבוע לDB.

יש לך פתרון יותר טוב?

[WWW]

@chagold אמר בסוגיית שרת שנפרץ:

את אותו הקובץ שהם שתלו בוורדפרס, הם צריכים לגשת אליו. וצריכים לדעת שהוא קיים בשרת שלי. ולכאו' הפריצה היתה אקראית וא"כ אני פחות חושש שיחפשו את זה בשרת החדש. (אבל הכל יכול להיות).

יש קבצים ידועים עם שמות ידועים שהאקרים שותלים בכל שרת שהם הצליחו לחדור אליו, ויש מלא סורקים שסורקים את כל השרתים אם קיים שמות קובץ כאלה

קרה בפועל לאחד מחברי הפורום.