Angriff auf Webspace?

[Luckie]

Es ist leider nicht mein Webspace. Und angeblich wurde schon mit dem Support von 161 gesprochen. Das Passwort vom Controlcenter wurde mittlerweile geändert und dass vom FTP-Zugang auch. Trotzdem wurde das DB-Passwort wieder geändert ohne unser Zutun.

Ich hatte dann den Ordner umbenannt und die Subdomain auf den neuen Ordner umgeleitet. Wieder wurde das DB-Passwort geändert. Dann habe ich eine neue Subdomain angelegt und auf den Ordner zeigen lassen. Wieder wurde das DB-Passwort geändert. Erst als ich den Ordner mit einem htaccess Passwort geschützt habe, fanden keine Änderungen mehr statt.

Ich muss mal sehen, ob ich im Controlcenter irgendwo die HTTP-Logs finde.

[haentschman]

Hallo Luckie,

im Control-Center findest du die nicht. Du mußt via FTP auf den Webspace.

[Luckie]

Ich kann in den Logdateien der letzten Tage und von gestern, wo es ja auch passiert ist, leider kein "SET PASSWORD" finden.

[Daniel]

Wie umfangreich ist denn die Installation auf dem Webspace? Hast Du eine Chance, nach "fremden" PHP-Skripten zu suchen? Sei es über das Datei-Datum, Datei-Rechte?
Möglicherweise hat jemand sein Script auf Deinem Webspace abgelegt.

Gibt es eigentlich außer dem DB-Passwort noch andere Symptome? Das allein erscheint mir etwas mau. Ich verstelle ja nicht ein DB-Passwort, nur um wen zu ärgern. Normalerweise will ich ja die Kontrolle über die DB übernehmen und z.B. Daten abgreifen.

[mkinzler]

Aber auch dann wäre es unauffälliger einen weiteren Benutzer anzuleegn und dem entsprechende Rechte einzuräumen. Aber vielelicht lässt das System da ja auch nicht zu.

[Luckie]

Es ist, wie gesagt, nicht mein Webspace. Ich hatte mich dummer weise nur bereit erklärt, denen das Forum und Wiki zu installieren.

Vor ein paar Wochen haben Spamer deren Wiki komplett zu gespamt. Die Hauptseite wurde über 10.000 mal geändert und es gab mehrere 1.000 neue Benutzer. Das Wiki habe ich jetzt komplett dicht gemacht. Seitdem ist diesbezüglich Ruhe.

Andere Symptome habe ich noch nicht festgestellt, außer dass eben das DB-Passwort geändert wurde. Aber wie schon gesagt, seit der Ordner Passwort geschützt ist, passiert das nicht mehr.

Gibt es irgendwie Software, mit der man so Loghdateien auswerten kann? Der Plaintext im Editor ist doch etwas unübersichtlich.

Auf dem Server liegt sehr viel Mist. Weil da in der Vergangenheit wohl schon sehr viele was dran gemacht haben. Zudem wird der Webspace beruflich als auch privat genutzt. Da was zu finden, ist mehr als schwierig. Zumal die Person teilweise selbst nicht weiß, was sich hinter den einzelnen Ordner verbirgt, zu was sie gehören, wer sie erstellt hat und zu welchen Zweck.

[einbeliebigername]

Hallo Luckie,

wenn ich das

Zitat von Luckie:

Es ist, wie gesagt, nicht mein Webspace. ...

Vor ein paar Wochen haben Spamer deren Wiki komplett zu gespamt. Die Hauptseite wurde über 10.000 mal geändert und es gab mehrere 1.000 neue Benutzer. ...

Auf dem Server liegt sehr viel Mist. Weil da in der Vergangenheit wohl schon sehr viele was dran gemacht haben. Zudem wird der Webspace beruflich als auch privat genutzt. Da was zu finden, ist mehr als schwierig. Zumal die Person teilweise selbst nicht weiß, was sich hinter den einzelnen Ordner verbirgt, zu was sie gehören, wer sie erstellt hat und zu welchen Zweck.

lese, dann kann ich nur empfehlen Alles (inklusive DB) vom Webspace runterladen und in eine VM ohne Internetzugang packen. Alles im Webspace löschen und dann Stück für Stück neu aufbauen. Neue Subdomains (getrennt für Privat und Beruflich), neue Passwörter, neue DB, neue Installationen vom Forum und Wiki, nur die Inhalte vom alten Webspace übernehmen die wirklich noch gebraut werden und dabei jede Datei, jede Skriptzeile genau anschauen. Wenn man eine Skriptzeile nicht versteht, dann löschen.

Das eigentliche Setzen des DB-Passwortes kann auch in der Datenbank geschehen. Auch vorstellbar ist, dass der Befehl verschlüsselt ist, um ihn schwerer zu finden.

einbeliebigername.