Закинем на сервер с mod php без itk и запрещенных функций - Хостинг и серверы для сайтов

Взлом 24-HOSTER Solutions

Alighieri · 2020-07-28T15:09:40.0000000Z

Здравствуйте ув.форумчане. Как вы знаете я владелец хостинга 24-Hoster, и вчера утром в 7:20-30 по МСК был совершён взлом с целью удаления папки var/www, т.е удаление данных всех клиентов. Взломщик забыл затереть как следует за собой логи своих действий поэтому выкладываю всё тут. Логи команд /root/cpu top Эти две команды мои последние, были сделаны ночью, где то в 1 час ночи по МСК. Дальше идут команды взломщика. cat /proc/cpuinfo cd /var/www ls | wc -l ls cd himiko ls mc ls /dev cd ~ ls mc exit mount -l ls /var/lib/nfs/rpc_pipefs ls /var/lib/nfs/rpc_pipefs/mount/ ls /var/lib/nfs/rpc_pipefs/nfs/ rm -rf /var/www* hdparm --make-bad-sector fdisk /dev/sda Лог входов под аккаунтом root Aug 20 07:18:48 Kinolive sshd[11697]: Accepted password for root from 221.206.16 4.123 port 56137 ssh2 Aug 20 07:18:48 Kinolive sshd[11697]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:22:06 Kinolive sshd[11697]: pam_unix(sshd:session): session closed for user root Aug 20 07:22:29 Kinolive sshd[12093]: Accepted password for root from 221.206.16 4.123 port 53040 ssh2 Aug 20 07:22:29 Kinolive sshd[12093]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:22:31 Kinolive sshd[12093]: pam_unix(sshd:session): session closed for user root Aug 20 07:27:23 Kinolive sshd[12493]: Accepted publickey for root from 221.206.1 64.123 port 39402 ssh2 Aug 20 07:27:23 Kinolive sshd[12493]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:29:52 Kinolive sshd[12726]: Accepted publickey for root from 221.206.1 64.123 port 39404 ssh2 Aug 20 07:29:52 Kinolive sshd[12726]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:37:27 Kinolive sshd[12493]: pam_unix(sshd:session): session closed for user root IP взломщика на момент входа 221.206.164.123 Имя компьютера : artemz@artemz-laptop Теперь смотрим этот пост внимательно /ru/forum/503470 .

15

Western_HD

22 августа 2010, 17:40

#331

потёрто, по просьбе 24-hoster

В который раз выхожу из офиса пьяный...=) и понимаю, Жизнь прекрасна!

231

XLhost.Ru

22 августа 2010, 17:42

#332

Western_HD, а от куда столько совпадений? У кого может быть столько данных о конкретном человеке, чтоб его так подставить?

Windows / Linux VPS на NVMe от $10 | Dedicated от $60 ( https://xlho.st )

990

kxk

22 августа 2010, 17:42

#333

XLhost.Ru, Товарищи с нулледа обещали же Артёму, вот и реализация их коварного замысла или они святые ?

Ваш DEVOPS

50

Alighieri

22 августа 2010, 17:44

#334

kxk:
WHMCS Приват сплоитов больше чем Microsoft Windows имеет
А, если она стоит (не дай бог), на сервере хостинга вместе с клиентскими сайтами, то всё можно сказать у вас open relay, хочу кто хочу, творю что надо
Вообще нормальные хостеры, запирают биллинг на отдельный сервер/впс за нат и на ip ната запирают все порты кроме 80

Больше всего склоняюсь к модулу ISP Manager

Арендую VPS у королевского хостинга (http://kinghosting.ru) Работаю с трафиком RU, Adult.

560

Himiko

22 августа 2010, 17:45

#335

Western_HD:
потёрто, по просьбе 24-hoster

Я успел всё это прочитать и аккуратно отвечу =)

1. Этих функций уж очень не достаточно, чтобы взломать сервер и получить привилегии рута.

2. По поводу txt-файлов, тут сейчас только доверять/не доверять мне и работнику датацентра.

Профессиональное администрирование серверов (https://systemintegra.ru). Круглосуточно. Отзывы (/ru/forum/834230) Лицензии (http://clck.ru/Qhf5) ISPManager,VDSManager,Billmanager e.t.c. по низким ценам.

ВКонтакте появилась функция «Близкие Microsoft Live Search стал Пользователи ВКонтакте сутки публиковали

231

XLhost.Ru

22 августа 2010, 17:45

#336

kxk, но обычно в таких ситуациях человек не игнорирует обвинения в свой адрес.

990

kxk

22 августа 2010, 17:46

#337

Himiko, Да ну, давай rst шел закинем на сервер с mod_php без itk и запрещённых функций и посмотрим, дать подопытного ?

150

SBot

22 августа 2010, 17:46

#338

kxk:
Alighieri, WHMCS Приват сплоитов больше чем Microsoft Windows имеет :)
А, если она стоит (не дай бог), на сервере хостинга вместе с клиентскими сайтами, то всё можно сказать у вас open relay, хочу кто хочу, творю что надо :)
Вообще нормальные хостеры, запирают биллинг на отдельный сервер/впс за нат и на ip ната запирают все порты кроме 80 :)

Угу, посмотрел так фастом, там что не форма. так XSS или инклуды. Фильтраций и проверок толком нет. 🤪

990

kxk

22 августа 2010, 17:46

#339

XLhost.Ru, Как раз таки наоборот, пока вина человека не доказана в суде он имеет права не давать показаний против себя.

560

Himiko

22 августа 2010, 17:47

#340

kxk:
XLhost.Ru, Товарищи с нулледа обещали же Артёму, вот и реализация их коварного замысла или они святые ?

Я уже писал.

1. Слишком много "лишнего", на что вряд ли кто-то обратит внимание. Например, незачем использовать прокси Артёма, о котором сложно догадаться. Я вот случайно только в одном сообщении про него узнал.

2. Глупо сносить разделы диска и пытаться затереть следы подставы. Кроме этого постарались сделать так, чтобы вообще никто не попытался искать следы взлома и просто списали на сбои дисков.

Himiko добавил 22.08.2010 в 21:48

kxk:
Himiko, Да ну, давай rst шел закинем на сервер с mod_php без itk и запрещённых функций и посмотрим, дать подопытного ?

1. itk на этот сервер ставил я лично.

2. Права рута даже без itk это не даст.

Яндекс защитит аккаунты с Как организовать успешное агентство Дорвеи и поисковые системы

Тренды маркетинга в 2024 году: мобильные продажи, углубленная аналитика и ИИ

В 2023 году Одноклассники пресекли более 9 млн подозрительных входов в учетные записи

Взлом 24-HOSTER Solutions