Włamanie na FTP

[Sapcio]

No i znowu ktoś włamał się na ftp forum i usunął wszystko.. Jakim cudem się pytam.. hasło mam 30 literowe i nie podawałem hasła nikomu.. Komputer mam czysty od wirusów...

Edytowane 8 Lutego 2013 przez Macsch15

[Gość ratosluaf]

Jakim? Używasz total commandera, zapisujesz w nim hasła, masz wirusy, czy inne ścierwa.

Edytowane 8 Lutego 2013 przez ratosluaf

[Macsch15]

Jakaś rzecz musiała nawalić skoro tak się zdarzyło, prawda?

A to, że hasło jest 30 literowe nie znaczy że jest mocne.

 

Skąd pewność że nie masz wirusów na komputerze? Pytałeś się hostingu o logi logowań FTP i ich IP?

[Sapcio]

Jakim? Używasz total commandera, zapisujesz w nim hasła, masz wirusy, czy inne ścierwa.

 

 

Uzywam filezilla, komputer skanowany codziennie automatycznie Norton Internet Security... 

[Sapcio]

Jakaś rzecz musiała nawalić skoro tak się zdarzyło, prawda?

A to, że hasło jest 30 literowe nie znaczy że jest mocne.

 

Skąd pewność że nie masz wirusów na komputerze? Pytałeś się hostingu o logi logowań FTP i ich IP?

 

 

Ostatnie odwołanie przed zniknięciem pliku index.php:

91.232.63.251 - - [08/Feb/2013:20:01:30 +0100] "POST /serwery/lgsl_files/icons/dh2005/index.php?dir=%2Fhome%2Fa9762%2Fdomains%2Fcs-badboys.com.pl%2Fpublic_html%2F HTTP/1.1" 302 7769 "http://www.cs-badboys.com.pl/serwery/lgsl_files/icons/dh2005/index.php?dir=%2Fhome%2Fa9762%2Fdomains%2Fcs-badboys.com.pl%2Fpublic_html%2F" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.17 (KHTML, like Gecko) Chrome/24.0.1312.56 Safari/537.17"

91.232.63.251 - - [08/Feb/2013:20:01:35 +0100] "GET /serwery/lgsl_files/icons/dh2005/index.php?dir=%2Fhome%2Fa9762%2Fdomains%2Fcs-badboys.com.pl%2Fpublic_html%2F HTTP/1.1" 404 522 "http://www.cs-badboys.com.pl/serwery/lgsl_files/icons/dh2005/index.php?dir=%2Fhome%2Fa9762%2Fdomains%2Fcs-badboys.com.pl%2Fpublic_html%2F" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.17 (KHTML, like Gecko) Chrome/24.0.1312.56 Safari/537.17"

Adres IP z terenu Rosji, w parametrach odwołania adres do katalogu public_html - bardzo dziwne - radzę się temu przyjdzieć i szukać dziury w skryptach.

[Gość ratosluaf]

Nie dziury, wina leży po Twojej stronie. Nie umiesz się zabezpieczyć - branża nie dla Ciebie.

[Sapcio]

Nie dziury, wina leży po Twojej stronie. Nie umiesz się zabezpieczyć - branża nie dla Ciebie.

 

Domyslam sie ze ty odrazu wszystko wiedziales  

 

Zabezpieczylem sie na tyle ile moglem, nie jestem wszechwiedzacy i nie znam wszystkich zabezpieczen.. httacces, odpowiednie ustawienie konfiguracji w ACP. Tyle moglem :/ 

[Budyn]

Napisz do swojego hostingu o więcej logów z FTP i HTTP, mi tu śmierdzi shell'em albo wirusem na kompie.

Zmień hasło na coś podobnego "GFS76twjh^%jkj@#8" i co najważniejsze nie zapisuj go w kliencie FTP

[tenechu]

Użyj tego pliku i zobacz czy nie masz shelli na ftp.

http://uploading.com/files/b8ca5846/antyshell%2Bv2.0.rar/

Podejrzewam że ta tabelka od Golusia może być zainfekowana wczoraj jednemu gościowi naprawiałem błąd związany właśnie z nią.

[Sapcio]

Użyj tego pliku i zobacz czy nie masz shelli na ftp.

http://uploading.com/files/b8ca5846/antyshell%2Bv2.0.rar/

Podejrzewam że ta tabelka od Golusia może być zainfekowana wczoraj jednemu gościowi naprawiałem błąd związany właśnie z nią.

 

Ilość szkodliwych plików: 0

Przeszukanych plików: 1386

 

Mi tez sie wydaje ze to cos z tabelka.. Za pierwszym razem rowniez najpierw wyskoczyly bledy tabelki serwerow a pozniej usuniete pliki.. Juz wiecej nie skorzystam z tej tabelki.

[Sapcio]

"GET /index.php?s=314868322c7f40bf4e356a721445dd1c&&app=shoutbox&module=ajax&section=coreAjax&secure_key=9984366cb8e479bbb3fec8f8453f0472&type=getShouts&lastid=322&global=1 HTTP/1.1" 200 852 "http://www.cs-badboys.com.pl/" "Mozilla/5.0 (Windows NT 6.0; rv:18.0) Gecko/20100101 Firefox/18.0"

 

"POST /serwery/lgsl_files/icons/dh2005/index.php?dir=%2Fhome%2Fa9762%2Fdomains%2Fcs-badboys.com.pl%2Fpublic_html%2F HTTP/1.1" 200 5745 "http://www.cs-badboys.com.pl/serwery/lgsl_files/icons/dh2005/index.php?dir=%2Fhome%2Fa9762%2Fdomains%2Fcs-badboys.com.pl%2Fpublic_html%2F" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.17 (KHTML, like Gecko) Chrome/24.0.1312.56 Safari/537.17" 

 

 

tego jest pelno w logach... Support w ciagu 30 minut da mi logi z ftp i zobacze ip z jakiego bylo logowanie.

[Gość maciekplock]

Własnie mi ktos tez usunal caly folder public_html z ftp, i mam to samo ip, a to jest wina ze masz na forum tabele by globus czy jakos tak. support mi podal ip ktore sie logowalo i to jego wina.

[DawPi]

No to ładnie. Exploit w jego tabeli serwerów?

[Portek]

Expliot nie, bug w lgsl już tak

[Golus]

To nie moja wina Tylko lgsl...

Dlatego zawiesiłem forum i robię tabelę od nowa

[DawPi]

To chyba, że tak. Zwracam honor.