ich mag hacker sehr, sehr gerne...

also zuerst habe ich die Hacker Seite gesehen, dann nach eins zwei Refresh und ein paar DNS Anfragen sehe ich wieder die korrekte Seite... wenn Deine Seiten ansonsten korrekt sind und kein Einbruch oder geänderte Dateien sichtbar sind, dann hat sich jemand Deinen DNS Eintrag gekrallt und ihn kurzfristig umgebogen. I.d.R. dauert das dann einige Minuten, bis mehrere Stunden bis die Server sich wieder synchronisieren....
 
ich hab kurz nachdem ich das entdeckt und hier gepostet habe, gleich die alte startseite wiederaufgespielt.

es waren definitiv die index.htm und index.html komplett neu geschrieben. aber ansonsten sieht eigentlich alles "normal" aus...
 
Na gut, dann war es ein Einbruch, dir Frage ist jetzt wie die reingekommen sind. Ich würde mal schauen, ob die LogDateien vom fraglichen Zeitraum irgendwelche Infos geben. Meist kommen die über bekannte Sicherheitslücken von CGIs rein (ich will ja nicht hoffen, daß die Dein Paßwort erraten haben).
Nichtsdestotrotz würde ich sämtliche Paßwörter ändern.
Vielleicht ist auch ein PHP Script unsauber programmiert... sowas sollte aber anhand der Log Dateien nachvollziehbar sein.
 
Du hast aber auch ein Glück mit Deinem Strato.... sag jetzt ned, daß Du auch noch ne .com, .net oder .org Domain bei denen hast....;)
 
ne, hab ich da nicht. hab auch gerade mal die logfiles überfliegen wollen, nur begibt es sich bei strato so, dass man die logfiles immer erst 2 tage später bekommt, warum auch immer. wahrscheinlich braucht der 2 tage zum rechnen, oder da sitzt 'n abm-ler der die tippt und schön schreibt.
 
bei uns hats zum Glück nur ein paar Minuten Zeitverzögerung (was man als Schreibcache bezeichnen könnte), dann liegen die aktuellen Daten vor. Lediglich die Reports werden nur einmal am Tag / Nacht generiert, das ist schon nicht schlecht.

Naja auf jeden Fall viel Spaß beim Durchwühlen der Logdateien (wenn sie denn endlich fertig abgetippt sind ;) )
 
wie die das machen kann ich natürlich nicht nachvollziehen. Aber bei dem warum kann ich mir einfach sportliche Gründe vorstellen.

So nach dem Motto, boah geil, wieder einen. Oder so nach dem Motto juhuu, wir beherrschen die Welt.
 
schlussendlich würde noch die die bruteforce methode bleiben. wie schon gesagt, ist eine lücke in einem script nicht auszuschliessen. ich hatte dem admin von www.utworld.de mal seine mysql-zugangsdaten zugeschickt...:D
 
Ist folgendes der anfang deiner index.php?

Code: 
<?php 
# GLOBALE VARIABLEN
...

;)


Edit: Hab' den Teil Quellcode entfernt auf die Bitte hin von antiheld.
 
Zuletzt bearbeitet:
@anti: du solltest kontrollieren, welche dateien includet werden. deine variable "s" öffnet dem tür und tor. eine möglichkeit wäre z.b. s immer mit dem $_["DOCUMENT_ROOT"] vorne dran zu includen, das gibst du natürlich erst dort an, wo der include-befehl steht.. dann sollte nix mehr schief gehen.
@womstar: nein, spider war´s nicht.
bye,
mo
 
nein, ich weiss es wirklich nich. ich weiss nur, warum und wie spider das loch dann gesucht und gefunden hat, nachdem deine seite von _irgendwem_ gehackt wurde.
bye,
mo
 
gibt es denn irgendeine Möglichkeit die Hackseite zu enträtseln (mit Blick auf die unteren Informationen die darin stehen) und einen Hinweis auf den Verursacher zu finden?

Irgendwelche Spuren die hinterlassen werden?

Wenn ja, dann könnten wir ja mal so einen Störenfried zerkrümeln.
 
Hier ist übrigens noch so eine, hab ich grad ausgegoogelt

we are

und noch was

sagt einem die Einträge der ersten beiden Links im google Verzeichnis irgendwas? Weil da so PHP Befehle drin stehen? Evtl. zur Aufklärung der Art wie die da reingekommen sind?

hier die beiden ersten
 
Zuletzt bearbeitet:
da wäre ich sofort dabei. hatte leider noch nicht die gelegenheit meine logfiles durchzugehen.
würde da auf jeden fall auch gerne anzeige erstatten, wäre ja das mindeste.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben