Angriff auf Server

[jo@chim]

wir mussten einen über Ihre Präsenz ausgeführten Angriff auf unseren Webserver registrieren. Ausgangspunkt waren Ihre PHP-Scripte, welche eine fehlerhafte XMLRPC-Bibliothek verwenden.
Weitere Informationen finden Sie unter
<URL:http://www.security-focus.com/bid/14088/info>
Bitte untersuchen Sie Ihren Webspace auf veränderte Dateien und entfernen Sie vom Angreifer hinterlegte Programme

Diese Mail habe ich von meinem Provider erhalten. Nach was und wo muss ich denn da suchen?

[Olaf]

Der Angriff wurde über die "xmlrpc.php" durchgeführt. Unbedingt ein Upgrade auf die aktuelle WordPress-Version durchführen!

[jo@chim]

Ich hatte überhaupt nicht mitbekommen, dass es schon wieder eine neue WP-Version gibt - werde unverschüglichst auf 1.5.2 upgraden. Herzlichen Dank, Olaf!

[\0]

entschuldige ...ich wollte schon heute nachmittag antworten leider musste ich an meinem text etwas länger feilen:

Leider ist das Update nur eine ausweichende Lösung nachdem man "gehackt" wurde müste man eigentlich folgendes tun:

zuerst ... misstraue alle dateien (normalerweise sind nur scripts angreifbar ... es gibt aber möglichkeiten bilder mit viren zu infizieren). in jedem Script auf dem Server könnte ein Trojaner (Hintertür für den Cracker) eingebaut worden sein. Diese könnte unbemerkt in einem Template schlummern, und könnte ohne Probleme von dem Cracker jederzeit wieder benutzt werden um Kontrolle über den Webspace zu erlangen.

Was wäre eine saubere Methode für ein Update?:
1. herunterladen aller dateien
2. herunterladen einer Sicherung der Datenbank
3. alle dateien auf dem webspace löschen (außer wp-content - dazu kommen wir gleich) und durch saubere ( von der original seite heruntergeladene versionen) ersetzen
4. die plugins und themes müssen durch saubere Versionen ersetzt werden ..alle eigenständigen änderungen müssen per copy und paste von der alten Version zur neuen Übertragen werden (dabei gleich eine updateanleitung anlegen - für neue versionen das man weiss was man ändern muss)
5. alle hochgeladenen dateien überprüfen ( scripts als konterminiert ansehen und wenn möglich durch saubere versionen ersetzten)
6. das update durchführen
7. wenn alles funktioniert die lokalen dateien löschen (nicht sichern ...darin könnte sich ein trojaner befinden)

ich weiss das diese anleitung viel paranoia beinhaltet ... dies hier ist eine mögliche Art einen komprimitierten Webspace wieder zu reinigen.

[jo@chim]

Danke für Deine Hinweise! Wird denn das Dateidatum manipuliert? Ich habe mir die Werte in meiner Installation angesehen und nichts auffälliges entdeckt ...

[Johannes (BlogDesk)]

Kleiner Tipp: mit HackDetect lassen sich die angesprochenen Manipulationen an Dateien aufspüren. Jetzt im Nachhinein ist es natürlich zu spät.

[\0]

Zitat von jo@chim

Danke für Deine Hinweise! Wird denn das Dateidatum manipuliert? Ich habe mir die Werte in meiner Installation angesehen und nichts auffälliges entdeckt ...

je nach Webspace-Konfiguration ist dies auch möglich.