Ausgeführte Datei anhand von Kernelinformation finden

[droelfvonelf]

Hallo erst mal ,

ich bin neu hier in der Community und habe mich registriert, weil ich mir von euch fachmännischen Rat zum Thema Debian als Server Distribution holen will - besonders akut aus gegebenem Anlass: Mein vServer wurde gehackt und wurde für DDoS-Attacken genutzt.
Da nun die Gefahr erst mal dadurch gebannt ist, dass der Server rechtzeitig gestoppt wurde und in den Rettungsmodus versetzt wurde, befinde ich mich nun auf der Fehlersuche. Von meinem Provider habe ich eine E-Mail mit folgenden Informationen bekommen:

Jan 8 18:10:16 ne412 kernel: [2994477.335871] outgoing rate exceeded: IN= OUT=eth0 SRC=[meine Server-IP] DST=[IP des Opfers] LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=63608 DF PROTO=TCP SPT=35284 DPT=443 WINDOW=5840 RES=0x00 SYN URGP=0

Da mir ja Kernel Informationen gegeben wurden, würde mich nun interessieren ob man anhand derer beispielsweise in einem LogFile nachschauen kann wo die Datei dazu liegt, die dies verursacht hat. Könnt ihr mir diese Frage beantworten?
Oder könnt ihr mir andere Methoden nennen mit denen ich leicht an weitere Informationen zu dem Vorfall komme?

Für Antworten wäre ich euch sehr dankbar
Gruß
droelfvonelf

[DeletedUserReAsG]

Da mir ja Kernel Informationen gegeben wurden, […]

Da kann ich mir nichts drunter vorstellen. Magst du diese „Kernelinformationen“ mal hochladen? Oder meinst du diesen Logschnipsel? Der dokumentiert nur die Auswirkung, nichts weiter.

cu,
niemand

[droelfvonelf]

oh okay. ja ich meinte den Loginschnipsel da
Ich dachte die Information "[2994477.335871]" würde irgendetwas bringen....
Wie sieht es sonst aus, besteht die Möglichkeit über den Apache Log da was raus zu finden? Oder sind Informationen dazu auf jeden Fall in den Apache Logs zu finden und die sind gelöscht worden?

Danke für eure Hilfe im Voraus
Gruß
droelfvonelf

[DeletedUserReAsG]

Ich dachte die Information "[2994477.335871]" würde irgendetwas bringen....

Das ist ein Timestamp.

Wie sieht es sonst aus, besteht die Möglichkeit über den Apache Log da was raus zu finden? Oder sind Informationen dazu auf jeden Fall in den Apache Logs zu finden und die sind gelöscht worden?

Nachdem eine Kiste geknackt wurde, sind die Logs auf keinen Fall noch vertrauenswürdig. Es hindert dich natürlich keiner daran, mal reinzuschauen und zu gucken, ob was Auffälliges drinsteht. Wie man Logs interpretiert, wirst du als Serverbetreiber ja nun wissen – oder?

cu,
niemand

[Cae]

Wenn man ein klein wenig Ahnung von der Sache haette, dann wuerde man erkennen, dass dein Webserver absolut keine Rolle spielt, zumindest nicht primaer (sekundaer, wenn's um das Einfallstor geht, schon). DPT=443 bedeutet, dass das ein HTTPS-Server war, den du angegriffen hast. Wahrscheinlich syn-Flood, laesst sich aber nicht sicher sagen.

• Nichts anfassen. Read-only mounten, besser Image ziehen.
• alles kann gefaelscht sein. Binaries, Logs, whatever.
• Verursacher finden. Wer hatte Zugriff? Welche Serverdienste liefen? Welche weitere Software lief?
• auth.log durchgucken. Wo hat sich der Verursacher eingenistet? find auf /var/tmp, /tmp loslassen. /home/ durchgucken.

  Code: Alles auswählen

  # find / -type d -perm /o+w 2>/dev/null

  findet weltweit beschreibbare Verzeichnisse.
• War der Angriff ueberhaupt persistent, oder z.B. komplett im RAM/tmpfs?
• .bash_history von allen Usern mit denen vom letzten Backup vergleichen. Ist eine auffaellig leer/kuerzer, als sie sein sollte?
• sudoers pruefen. shadow pruefen. sha1sum fuer alle systemrelevanten Dateien mit den vorherigen Backups vergleichen.
• find / -ls insbesondere im Hinblick auf Rechteaenderungen gegen ein verlaessliches System diffen
• init.d-Skripte, rc.local vergleichen

Damit solltest du erstmal ein Dutzend Stunden beschaeftigt sein.

Gruss Cae

[droelfvonelf]

Oh, das war mir nicht bekannt.
Dass dem Ganzen nicht mehr zu 100% getraut werden kann ist mir klar. Trotzdem wollte ich mich mal nach Auffälligkeiten auf die Suche machen... Wie ich die Interpretiere ist mir bekannt (Timestamp nicht erkannt: Fauxpas - peinlich )

Meine Vermutung galt auch eher der Möglichkeit des Zugangs für den "Einbrecher".
Habe den Server im Rettungsmodus des Providers starten lassen.
Ja, das ist mir bekannt, dass so etwas sein kann.
Okay, werde ich durchführen.
Das weiß ich nicht. Kannst du mir eine Möglichkeit nennen herauszufinden worum es sich handelt?
Werde ich tun.