Hilfe - wurde gehackt 2.0.15

[larsneo]

was ist denn jetzt das eigentliche problem?
was bemängelt der provider genau (siehe mein ursprungsposting)

[maxl]

was ist denn jetzt das eigentliche problem?
was bemängelt der provider genau (siehe mein ursprungsposting)

Also mein Provider hat mir folgendes geschrieben:

Wegen einem PHP - bug ist es möglich bei Scripten die unzureichende Abfragen bzl. Der Ihnen übergebenen Parameter haben shellcode direkt am Server auszuführen. Hier wird über dieses Script ein anderes Programm heruntergeladen und im temporären Verzeichnis ausgeführt. Der Angreifer maskiert die Befehle mit der php char(###) funktion.

Ich hoffe, du/ihr könnt damit etwas anfangen!

Weiters würde ich dich/euch bitten, mir auf die Frage in meinem vorherigen Posting zu antworten:

1) den User "Anonymous" mit der user_id: -1
2) einen ohne irgendwas (kein Name, kein Passwort) mit der user_id: 0
3) mich als Admin mit der user_id: 2
4) alle weiteren User mit fortlaufender ID

Der User 2 macht mich irgendwie stutzig, da mir der bisher noch nie aufgefallen ist!

Ist der User 2 O.K.?

Vielen Dank!

maxl

[Blutgerinsel]

1) den User "Anonymous" mit der user_id: -1

Bekommen alle Anonymous Benutzer sprich Gäste oder Suchmaschinen
Wenn dieser Eintrag fehlt wird die DB inkonsistent da von der phpbb_session Table aus keine Relation mehr zur User_id -1 existiert und ausgewertet werden kann. Daneben sollte in der constants file entsprechend auch -1 auftauchen

2) einen ohne irgendwas (kein Name, kein Passwort) mit der user_id: 0

DB rumgespielt? Anders nicht zu erklären da es eine Userid 0 nie gibt !

3) mich als Admin mit der user_id: 2

Der erste Benutzer welcher zum Admin erhoben wird bekommt die User_id 2 zugeteilt

4) alle weiteren User mit fortlaufender ID

korrekt

P.S.: Ist die email vom Hoster zitiert? Hört sich teilweise wie ein Gestammel an

[larsneo]

Also mein Provider hat mir folgendes geschrieben:

Wegen einem PHP - bug ist es möglich bei Scripten die unzureichende Abfragen bzl. Der Ihnen übergebenen Parameter haben shellcode direkt am Server auszuführen. Hier wird über dieses Script ein anderes Programm heruntergeladen und im temporären Verzeichnis ausgeführt. Der Angreifer maskiert die Befehle mit der php char(###) funktion.

wenn es um einen php-bug geht, sollte der provider vielleicht erst einmal seine php-version aktualisieren

[maxl]

DB rumgespielt? Anders nicht zu erklären da es eine Userid 0 nie gibt !

An der Datenbank habe ich selbst nichts geändert - kann ich den problemlos löschen?

P.S.: Ist die email vom Hoster zitiert? Hört sich teilweise wie ein Gestammel an

Ja, ist eine Mail vom Hoster!

wenn es um einen php-bug geht, sollte der provider vielleicht erst einmal seine php-version aktualisieren

Ist PHP Version 4.3.10

Wie soll ich weiter vorgehen?

maxl

[larsneo]

Wie soll ich weiter vorgehen?

den provider fragen, was er eigentlich meint (z.b. durch angabe einer referenz zum entsprechenden secunia-advisory oder einem link zum passenden eintrag in der cve-datenbank)

[maxl]

Hallo!

Also das Bannen der "modemcable118.234-80-70.mc.videotron.ca" hat leider nix gebracht - dürfte ein dynamischer Einwahlaccount sein.

Ein paar Posting weiter vorne hat jemand gemeint, mit der .htaccess sollte das Problem nicht sein - hat sich die jemand von euch angesehen und ist meine nun O.K. oder nicht?

@larsneo

Der Provider meint eben, daß ein Script von phpBB ausgenützt und dadurch der Servercache überlastet wird - siehe Logfile!

Hat niemand von euch eine Idee wo ich ev. weitersuchen kann?
Ich möchte den Schmarrn loswerden!!!

Habt's doch Erbarmen mit einem alten Esel wie mir! Bitte, bitte!

Danke euch!

maxl

PS: Vielleicht kann mir jemand von euch zumindest sagen, wonach ich den Provider dezitiert fragen soll!

[pandorra]

hmm, an deiner stelle würd ich deinen hoster ganz gezielt fragen,
ob er noch ganz zu retten ist, dir so einen stuß zu erzählen
und ihn darauf hinweisen, dass er als hoster das wissen besitzen sollte
und nicht du...
danach würde ich schleunigst wechseln...
hab ich bei allinklusive auch so gemacht...
nur idioten beim support und dauernd probleme :/

[maxl]

hmm, an deiner stelle würd ich deinen hoster ganz gezielt fragen,
ob er noch ganz zu retten ist, dir so einen stuß zu erzählen

Also 1. bin ich bisher mit meinem Hoster immer sehr zufrieden gewesen und der Support hat immer bestens geklappt - daher möchte ich eigentlich nicht wechseln!

Und 2. ist nicht ganz von der Hand zu weisen, daß es ein Problem gibt, da dieses ja in den Logfiles ersichtlich ist!

Ich möchte auch keine Diskussion führen, welcher der beste Provider ist und denke (hoffe!!!) daß das Problem doch irgendwie zu lösen sein muß!

l.g.

maxl

[pandorra]

ja, klar, war ja nur ein vorschlag
aber wenn dir dein provider nur mit so mist kommt wie
"wir könnten gar nichts dafür können, ist alles das phpbb"
dann kommst du hier keinen schritt weiter...