[clirre]

Hej,

Jag insåg för någon dag sen att mitt andra webbhotell jag har parallellt med Proinet också blev hackat i samband med Proinet-hacket. Jag hade dumt nog samma lösenord på båda webbhotellen och de la in en phishing-site på min mest välbesökta sida (det var så jag upptäckte det) samt en massa osynliga länkar (som jag bara ser i källkoden) på samtliga andra.

Så, ni som har/hade Proinet och har samma lösenordspolicy som jag (dvs en dålig). Kolla igenom andra webbhotell mm som ni har samma lösenord på.

// Clirre

[oderland]

Ja, det är alltid bra att kolla genom sin lösenordspolicy, det låter dock som de har kommit in via någon svaghet i den koden du använder.
Kolla om du har senaste version av all programvara och att du inte har några gamla "test" script liggandes på kontot.

[tartareandesire]

Originally posted by oderland@Feb 22 2008, 11:54
Ja, det är alltid bra att kolla genom sin lösenordspolicy, det låter dock som de har kommit in via någon svaghet i den koden du använder.
Kolla om du har senaste version av all programvara och att du inte har några gamla test script liggandes på kontot.

Senaste versionen av all programvara? Han driver ju inte eget webbhotell =)

[oderland]

:-) alltså cms system, blogg , forum osv
menade ej os, kanske lite klantigt utryckt.

[clirre]

Det är möjligt att det inte var från Proinet. Jag upptäckte det dock efteråt och alla mappar och filer hade permission 777. Jag har hittat filer som hette door.php i image-mappen på en sida (som jag förstås tog bort).

Vad är vanliga fel att göra som de kan komma in i och ändra permissions? Submitrutor för injektioner?

Jag har rensat bort allt jag sett är fel samt kollat att alla sidor inte har några länkar som inte ska vara där. Vad kan de mer göra för fanstyg?

tad har rätt, jag driver inte eget webbhotell.

Kan jag förvänta mig att de har en dörr in till min sida? Vad bör jag göra mer?

[jgabor]

Jag tycker också att det låter som säkerhetsluckor i något av dina script... SQL-injection är allt för vanligt förekommande, så det är det första jag hade kontrollerat.

[tartareandesire]

Originally posted by jgabor@Feb 22 2008, 12:14
Jag tycker också att det låter som säkerhetsluckor i något av dina script... SQL-injection är allt för vanligt förekommande, så det är det första jag hade kontrollerat.

Lägger min röst på det likaså. Som Oderland skrev bör du också kontrollera eventuella forum och liknande du använder dig av. Utgår från att du redan bytt lösenord till dina databaser.

[clirre]

Yep, har bytt alla lösenord.

Använder mig av WordPress och PhpBB men inte på detta webbhotell. Däremot har jag phpLD på detta webbhotell.

Eller menar du om jag skulle ha samma lösenord på forum så att de snott lösenordet där? Det är omöjligt, använder inte samma lösenord för detta.

Hur skydddar man sig från SQL-injection? Om jag förstår det rätt så kan man göra ändringar i databasen genom det men inte skriva filer eller ändra CHMOD, eller? Det känns ju som om de kommit över lösenordet och jag hade samma på Proinet, samt jag är till 90 % säker på att det hände någon dag efter Proinet-hacket.

Hur vet jag om mitt konto är "rent"?

Tack för alla svar!

[JimmyOh]

Originally posted by clirre@Feb 22 2008, 13:09
Hur skydddar man sig från SQL-injection? Om jag förstår det rätt så kan man göra ändringar i databasen genom det men inte skriva filer eller ändra CHMOD, eller? Det känns ju som om de kommit över lösenordet och jag hade samma på Proinet, samt jag är till 90 % säker på att det hände någon dag efter Proinet-hacket.

Är det bekräftat att lösenorden från Proinet är på vift? I sådana fall, vad föreslår ni för åtgärder åt det hela?
Jag kan ju omöjligt veta vart jag använder samma lösenord som jag hade på Proinet, om jag ens har samma
någon annanstans. Vet inte...

[martin-lb]

Om du har tillgång till access-loggen så dra ner den och leta igenom efter typiska SQL-injections.

Exempel från ett Joomla tilläggs hack (delar av url'en bortklippt):

index.php?option=com_hwdvideoshare&func=viewcategory&Itemid=S@BUN&cat_id=-9999999/**/union/**/select/**/000,111,222,username,password,0,0,0....

/M