Pishing

[jonathanek 0]

Witam

 

Od pewnego czasu hosting blokuje moje konto ponieważ na moje serwery ktoś wrzuca pliki które wyłudzają od użytkowników dane bankowe. Jak mam się przed tym zabezpieczyć? Usuwam pliki lecz po jakimś czasie znowu się pojawiają, hasła też zmieniałem i nic.

[zrio 6]

Zainstaluj najnowszą wersję (lub zaktualizuj) używanego przez Ciebie skryptu.

[kafi 2425]

Może trzeba by się zainteresować, skąd one się tam pojawiają?

 

Zapewne trzeba by wyrzucić aktualnie używanego CMSa i zaktualizować/zmienić go

[jonathanek 0]

Jak sprawdzić skąd się pojawiają ? mam IP ale to co raz z różnych krajów. CMS aktualizowany do najnowszej wersji php fusion extreme.

 

....

[jonathanek 0]

Z logu znalazłem takie coś:

 

94.76.225.109 - - [09/Aug/2010:16:03:39 +0100] "GET /forum/extension.inc HTTP/1.1" 200 810 "-" "PHP/5.2.9"

 

Ciągle te IP odwołuje się do tego pliku który jest integralną częścią skryptu phpbb

[jonathanek 0]

problem dać blok na ip i klase ?

 

Na IP już dałem, a na klasę jak dać ?

[jonathanek 0]

Przykro mi nadal nie wiem o co chodzi z tą klasą, dałem bana na te IP i wczoraj znowu było włamanie i wrzucenie pishingu z tego samego ip.

[Jarosław Szmańda 42]

iptables -A INPUT -s 192.168.100.0/24 -j DROP

[kafi 2425]

Na hostingu shared użytkownik raczej nie wykona polecenia iptables...

[jonathanek 0]

Chłopaki co mam robić ? Pomóżcie proszę....

[Hekko.pl 239]

Najpierw przeanalizuj bardzo dokładnie dostępne logi WWW.

[webh.pl 229]

Z jakiego klienta FTP korzystasz?

[jonathanek 0]

Total Commander najnowszy, nie zapisuję w nim hasła do serwera. Logi mogę wkleić na forum

[Hekko.pl 239]

Total Commander najnowszy, nie zapisuję w nim hasła do serwera. Logi mogę wkleić na forum

 

Ale jeśli one zajmują sporo to ciężko będzie coś wyłapać, popatrz kiedy takie pliki zostały utworzone i sprawdź wtedy logi z tej godziny.

Oczywiście póki co nie biorę pod uwagę opcji FTP aczkolwiek u dostawcy możesz się upewnić czy nastąpiły jakieś logowania na Twoje konto z innych adresów IP.

[webh.pl 229]

Ja obstawiam TC :-)

[Gość]

Ja stawiam na skrypt : )

[Hekko.pl 239]

Dajmy się wypowiedzieć autorowi. Jak nie masz dużo tych logów możesz podesłać na PW jeśli coś takiego miało miejsce ostatnio..

[jonathanek 0]

Mam zablokowane konto przez firme hostingowa, moge poprosic o odblokowanie i dostanie sie do logow, ale jesli w tym czasie znowu nastapi atak to znowu mi je zablokuja dlatego chcialbym dzialac wielokrotnymi pomyslami na zabezpieczenie serwera zanim odblokuje hosting.

[www.mzone.uk 1200]

Przede wszystkim zmiana hasła na trudniejsze, odizolowanie postronnych osób (np. kolegów "fachowców") od pracy na serwerze, jeśli używasz Total Commangera odrazu zmień klienta FTP na inny, no i przeskanowanie wszystkich plików z serwera na obecność złośliwego kodu na Twoich stronach.

 

No i sprawdź te logi, tam masz zapisane co się działo na serwerze.

[jonathanek 0]

hasło było zmienione generatorem, tylko ja mam dostęp do serwera, klienta ftp zmieniłem, a jak przeskanować stronę pod kątem kodów ?

[www.mzone.uk 1200]

Administrator przeskanuje Co serwer na twoją prośbę, możesz też przeskanować pliki na komputerze lokalnym np. Kasperskim lub Nortonem.

Na bezpłatnych antywirusach jak np. Avast może Ci nie wykryć niczego.

[Fir3 0]

Administrator przeskanuje Co serwer na twoją prośbę, możesz też przeskanować pliki na komputerze lokalnym np. Kasperskim lub Nortonem.

Na bezpłatnych antywirusach jak np. Avast może Ci nie wykryć niczego.

ta akurat wykryje jeśli na koncie ma jakiegoś szyfrowanego phpshella lub jakiś inny autorski kod.

 

 

ja stawiam na to iż serwer hostingowy jest dziurawy, i nie jest to z jego winy, dlatego iż 90 % włamań jest spowodowanych źle zabezpieczonym hostingiem i źle odseparowanymi użytkownikami (open_basedir a nawet chroot oraz chmod da się obejść)

[Hekko.pl 239]

dlatego iż 90 % włamań jest spowodowanych źle zabezpieczonym hostingiem

To dziwne co opowiadasz na tym forum gdyż my - dostawcy mamy zupełnie inne statystyki, zresztą ilości postów opisujące takie sytuacje też wiele o tym mówią.

[Gość patrys]

źle odseparowanymi użytkownikami (open_basedir a nawet chroot oraz chmod da się obejść)

Rozwiń proszę

[jonathanek 0]

Daję wam logi chłopaki do analizy:

 

http://rapidshare.com/files/416844786/Aug-2010.rar

 

hasło: jonathanek