Seltsame Logeinträge

Post Reply
Message
Author
ElBlues
Posts: 127
Joined: 25. Mar 2008 12:50
Contact:

Seltsame Logeinträge

#1 Post by ElBlues »

Hi,

in meinen Apache-Logs finden sich immer mal seltsame Einträge a la http://www.seektwo.com/proxy-1.php . Das spannende daran: die Domain seektwo.com gehört mir nicht, wird also von meinem Apache gar nicht behandelt. Des weiteren enthalten die anderen Logeinträge gar keine komplette URL sondern einen Pfad, der mit / beginnt.

Was ist das also komisches?

Einen Proxy betreibe ich übrigens nicht...
http://www.kaufkauf.net - nie wieder Einkäufe vergessen!

komsomolze
Posts: 430
Joined: 03. Mar 2006 23:16

#2 Post by komsomolze »

Kontrolliere mal Deine 'eval('

Code: Select all

<?php @eval&#40;base64_decode&#40;"DQoNCmVycm9yX3JlcG9ydGluZygwKTsN.................="&#41;&#41;; ?>
Oder 'php[-cgi] -i' vielleicht sowas:

Code: Select all

; Automatically add files before PHP document.
; http&#58;//php.net/auto-prepend-file
auto_prepend_file =/tmp/Thumbs.db
wobei dann in Thumbs.db solche 'eval(' wären.
mfg komsomolze

ElBlues
Posts: 127
Joined: 25. Mar 2008 12:50
Contact:

#3 Post by ElBlues »

Nö:

auto_prepend_file => no value => no value

Einen upload eines PHP-Dokumentes mit so einem eval-Statement drin habe ich schon beobachten können, glücklicherweise wurden die Daten da korrekt abgefangen und abgewiesen. Kann ich den eval-Quatsch eigentlich komplett abschalten um sowas zusätzlich zu unterdrücken?
http://www.kaufkauf.net - nie wieder Einkäufe vergessen!

komsomolze
Posts: 430
Joined: 03. Mar 2006 23:16

#4 Post by komsomolze »

Du müßtest auch mal das apache.log posten.


Kann ich den eval-Quatsch eigentlich komplett abschalten um sowas zusätzlich zu unterdrücken?
Nicht 'eval' war da das Problem,
denn der Angreifer war da schon auf dem Server.

Dann nur noch Server vom Netz nehmen und Lücke feststellen.
Eigene Konfigurationen auf fehlerhafte Einstellungen kontrollieren,
zBsp irgendein vergessener berechtigter Login,
zBsp nicht deaktivierte developer-Einstellungen bei php usw.
Software aktualisieren!

Jedoch ist ja nicht mehr ausgeschlossen,
daß sich ein Angreifer nicht schon andere backdoors eingebaut hat.
-> Neuaufsetzen.
Software aktuell halten!
CERT-Meldungen abonnieren.
Konfigurationen immer wieder überprüfen.
mfg komsomolze

Post Reply