Thema: Nun wurde ich gehackt

Guten Morgen liebe Community,

so nun wurde ich gehackt...Ja ich weiß, dass Forum durchsuchen und alles Sicher etc ...das habe ich alles gemacht.

Es stand da: hacked by ecuador usw.

nur ich weiß echt nicht, worüber die reingekommen sind. Ich hatte Register globals off und die Schreibrechte waren auch ok.

Weiterhin hatte ich keine unsicheren Komponenten drauf.

Nur den CBE,PonyMl 2.4, Joomlaboard, EasyComments und EasyBook,

Ps.: Alle anderen Joomla Installationen liefen weiterhin auf dem Server. Auch den Webmaildienst und so liefen. Konnte bisher keine Spuren entdecken. Über was können die reingekommen sein?

Danke erstmal und Gruß

Server-BackUp läuft grad.

//Edit
Oder haben die beim CCC zurzeit langeweile?

Moin,
beim kurzen Überfliegen der Internetseiten, die durch dieselbe Gruppe "gehackt" wurde, ist mir aufgefallen, dass auch "nurmale" Seiten betroffen sind. Es auch kann sein, dass es garnicht an Joomla liegen muss, sondern an den Einstellungen des VServers. Was, das habe ich auch nicht auf die Schnelle gesehen.
HAst du schon die Logfiles analysiert?

Good Luck
T

naja die logflies schau ich grad drüber, denn sind 450mb

//Edit

der Hacker war d4n1ux und Turkhackteam...also wenn ich den bei google suche finde ich einiges

Ist auf dem Server Confixx als admin-tool drauf???

nein...plesk....aber komplett geupdatet...

server läuft nun wieder...wie gesagt...es liefen alle seiten..nur die eine wurde gehackt....hab nun erstmal alles auf rechte 755(ordner) gestellt und den rest aus 644 (DAteien)... mal sehen, was passiert...über die logfiles bin ich drüber

hmm.werweiß, was das war. zumindest geht es jetzt

Zitat von Floyd0707

hmm.werweiß, was das war. zumindest geht es jetzt

Kein sinnvolles Schlusswort
Du wirst in Kürze wieder gehackt werden, wenn Du das Loch nicht findest.
Es führt kein Weg an den Logfiles vorbei - ob groß oder nicht. Du musst ja nicht Zeile für Zeile ansehen, sondern kanst filtern. Erste Ansatzpunkt wäre das Einkreisen des Zeitpunktes.
Nicht nur die Apache-Logs beachten, auch FTP-Logs.
Ändere vor allem erst einmal alle Passwörter. Das ist das mindeste.

passwörter sind schon geändert.. also es muss in der zeit zwischen heut nacht um 1 und heut morgen um 7 gewesen sein.

und so viele Visits hab ich in der Zeit nicht. Bin ja schon am suchen.

Zitat von Floyd0707

hab nun erstmal alles auf rechte 755(ordner) gestellt und den rest aus 644 (DAteien)... mal sehen, was passiert...

Welche Rechte hatten denn die Dateien vorher? configfiles, index.php und dergleichen hast du hofffentlich auf 444 gesetzt. Sonst brauchst du dich nicht zu wundern. Hast du das wwwrun Problem?