Strato sperrt mir den Server !!

pfump · 17.03.2011, 09:42

Hallo,

wie der Titel schon sagt, hat mir Strato den Webserver gesperrt.
Und zwar wegen einer angeblichen DoS-Attacke (Denial of Service).

Weiter stand in der E-Mail von strato:
"Es ist möglich, dass sich ein Dritter Zugang zu den root-Benutzerrechten auf Ihrem Server verschafft hat. In jedem Fall wird Ihr Server einer Teilsperrung unterzogen, um weiteren Schaden für alle Beteiligten zu vermeiden."

Das kam vor rund 1 Monat vor. Danach habe ich den Server auf den
neusten Stand gebracht. Und alle Passwörter geändert.

Doch vorgestern ging wieder nix mehr. Allein aus dem Grund,
weil Strato den Server wieder gesperrt hat. Dazu kam ne Meldung
"Sollte das noch mal vorkommen, so wird er komplett gesperrt!"

Angeblich ging vom Server ein rießigerTraffic aus der Pakete irgendwohin
nach Amerika geschickt hat.

Mehr wollte strato nicht sagen

Hat einer ne Idee wer oder was sich da an meinem Server zu schaffen macht und wie ich mich davor schützen kann.

eagle275 · 17.03.2011, 09:53

Zitat "Passwörter geändert" - wenn die vorher und hinterher unsicher sind, dann bringt es nix..

Prüf lieber mal deine Logs auf dem Stratoserver, um herauszufinden, was los war .... der FTP-Zugang sollte ja funktionieren

Allerdings geizt Strato ziemlich mit Informationen - vielleicht haben die dich im Verdacht, selbst dahinter zu stecken ....

Machn Backup deiner Webseite(n) und Datenbank(en) dann kannst du im Fall der endgültigen Sperrung relativ schnell was neues aufziehen ...

pfump · 17.03.2011, 11:01

Ich hab mir die access.log mal angesehen.
Darin stehen einige Einträge alla bots:

Code:

92.51.147.197 - - [15/Mar/2011:16:40:24 +0100] "GET /robots.txt HTTP/1.1" 301 339 "-" "BotOnParade, http://www.bots-on-para.de/bot.html"
92.51.147.197 - - [15/Mar/2011:16:40:24 +0100] "HEAD / HTTP/1.1" 301 - "-" "BotOnParade, http://www.bots-on-para.de/bot.html"
87.170.117.47 - - [15/Mar/2011:16:46:09 +0100] "GET / HTTP/1.0" 301 329 "-" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
66.219.58.41 - - [15/Mar/2011:17:56:44 +0100] "GET /robots.txt HTTP/1.1" 301 339 "-" "MLBot (www.metadatalabs.com/mlbot)"
66.219.58.41 - - [15/Mar/2011:17:56:45 +0100] "GET / HTTP/1.1" 301 329 "-" "MLBot (www.metadatalabs.com/mlbot)"
87.170.117.47 - - [15/Mar/2011:17:57:58 +0100] "GET / HTTP/1.0" 301 329 "-" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
87.170.117.47 - - [15/Mar/2011:18:35:00 +0100] "GET / HTTP/1.0" 301 329 "-" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
123.125.71.105 - - [15/Mar/2011:18:35:55 +0100] "GET / HTTP/1.1" 301 327 "-" "Baiduspider+(+http://www.baidu.com/search/spider.htm)"
220.181.108.186 - - [15/Mar/2011:18:36:32 +0100] "GET / HTTP/1.1" 301 327 "-" "Baiduspider+(+http://www.baidu.com/search/spider.htm)"
66.249.66.44 - - [15/Mar/2011:19:03:59 +0100] "GET /robots.txt HTTP/1.1" 301 339 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"
66.249.66.44 - - [15/Mar/2011:19:03:59 +0100] "GET / HTTP/1.1" 301 329 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"
157.55.16.229 - - [15/Mar/2011:19:05:41 +0100] "GET /robots.txt HTTP/1.1" 301 331 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)"
157.55.16.229 - - [15/Mar/2011:19:06:18 +0100] "GET / HTTP/1.1" 301 321 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)"
::1 - - [15/Mar/2011:19:10:18 +0100] "GET / HTTP/1.0" 200 3523 "-" "Apache/2.2.0 (Linux/SUSE) (internal dummy connection)"
93.158.149.31 - - [16/Mar/2011:18:01:55 +0100] "GET /robots.txt HTTP/1.1" 404 1062 "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)"

Was mir auch aufgefallen ist. Kurz bevor gesperrt wurde, waren in der access.log viele (oder alle) Einträge mit Inhalt webmail.

Code:

87.170.106.35 - - [15/Mar/2011:17:49:09 +0100] "GET /themes/graphics/horde-power1.png HTTP/1.1" 304 - "http://webmail.****.de/imp/login.php" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; GTB6.6; SLCC1; .NET CLR 2.0.50727; Media Center PC 5.0; .NET CLR 3.5.30729; .NET CLR 3.0.30618)"

**** steht für die URL (hab ich getauscht

)

eagle275 · 17.03.2011, 11:39

verschickst du html-Mails von deinem Webserver aus, die Bilder aus deiner Webseite enthalten ?

Wolla · 17.03.2011, 11:57

Hast du auf deinem Server ein Kontaktformular? Also ein Script, bei welchem Leute auf einer Server einen Text eintippen können, der dir dann zugemailt wird?

Zu deinem letzten Log-Eintrag:

webmail.****.de/imp/login.php

fordert ein Bild von deinem Server an. Schau dir die Seite mal an.
Kann es sein, dass 100.000 Seiten in USA das gleiche machen?

pfump · 17.03.2011, 12:25

Ich bin mir grad nicht sicher was ihr meint

Also es geht um diese Seite hier

Auf dieser gibt es ein Kontaktformular.

Das webmail.****.de/imp/login.php ist der webmailer (horde)
Das Bild ist das Logo von horde.

Wolla · 17.03.2011, 12:34

Du schriebst, dass da sehr viele Einträge webmail.****.de/imp/login.php existieren. Das ist ja eigentlich ein Link, den nur du kennen solltest.

Wenn du mit deinem Kontaktformular nicht aufgepasst hast und jemand über deinen Server Spam verschickt, dann müsstest du das doch auch in den Logs sehen, oder?

pfump · 17.03.2011, 12:46

Das webmail.*** ist ein Link zum Login des Webmailers von Horde.
Im Kontaktformular werden die Mails per mail() gesendet.

eagle275 · 17.03.2011, 12:51

vielleicht hat ja ein Scherzkeks den Link zum Login in einem Gästebuch veröffentlicht - oder taucht als Unter-Ergebnis bei ner Suchmaschinen-Abfrage auf ....

und das mail() nich so der Bringer is, hast du hier sicher nicht nur 1 mal gelesen ....

pfump · 17.03.2011, 13:26

Ja, das hab ich schon das 1 oder andere mal gelesen.
Aber daran wird es wohl eher nicht liegen oder?

Man sollte wohl eine Mail-Klasse verwenden.
Welche Mail-Klasse sollte man denn nehmen?

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
[Erledigt] mysql_query() mit SQLDump	princemichi	PHP Einsteiger	4	07.03.2011 22:33
VisualSVN Server und PHP5	Frederic_S	Server, Hosting und Workstations	12	18.11.2010 17:50
Server erkennt UTF-8 Kodierung nicht	DJ_RhoxxZ	PHP Tipps 2010	21	31.08.2010 18:18
Biete Webspace mit Domain auf schnellem Server zu Duping-Preis an!	75MrCoolBoy	Off-Topic Diskussionen	9	07.02.2010 22:16
[Erledigt] Apache install geht nicht	SteiniKeule	Server, Hosting und Workstations	7	27.02.2009 08:40
Datei auf ANDEREM Server verschieben	SirRobin	PHP Tipps 2008	6	16.11.2008 12:18
Wireshark SSL Handshake debugging-Handshake protokoll mittels PHP + Curl	brian johnson	Off-Topic Diskussionen	0	06.11.2008 11:54
Mysql startet unter Debian nach Update nicht mehr	namlit	Server, Hosting und Workstations	4	05.08.2008 15:49
[Erledigt] WAMP unter Windows 2000 Server oder Windows 2003 Server	Mecronomecon	Server, Hosting und Workstations	3	18.06.2008 09:15
[Erledigt] Server durchsuchen mit php		PHP Tipps 2008	7	18.08.2007 12:24
Server für shell_exec() / exec() vorbereiten	Martek	Server, Hosting und Workstations	2	16.03.2007 15:03
[Erledigt] verschiedene Versionen auf einem W2K3 Server betreiben		PHP Tipps 2006	2	13.01.2006 17:39
STRATO -> PHP Version ändern?	Alpha Centauri	Off-Topic Diskussionen	6	27.12.2005 14:14
Suche Tipps für Persormance-Steigerung (Geld für Nützliches)		Beitragsarchiv	18	16.08.2005 10:57
Script bei Strato mit Fehlermeldung, bei Netbeat ok		PHP Tipps 2004-2	14	08.12.2004 11:08

17.03.2011, 09:42
pfump Erfahrener Benutzer Registriert seit: 29.03.2008 Beiträge: 576	Strato sperrt mir den Server !! Hallo, wie der Titel schon sagt, hat mir Strato den Webserver gesperrt. Und zwar wegen einer angeblichen DoS-Attacke (Denial of Service). Weiter stand in der E-Mail von strato: "Es ist möglich, dass sich ein Dritter Zugang zu den root-Benutzerrechten auf Ihrem Server verschafft hat. In jedem Fall wird Ihr Server einer Teilsperrung unterzogen, um weiteren Schaden für alle Beteiligten zu vermeiden." Das kam vor rund 1 Monat vor. Danach habe ich den Server auf den neusten Stand gebracht. Und alle Passwörter geändert. Doch vorgestern ging wieder nix mehr. Allein aus dem Grund, weil Strato den Server wieder gesperrt hat. Dazu kam ne Meldung "Sollte das noch mal vorkommen, so wird er komplett gesperrt!" Angeblich ging vom Server ein rießigerTraffic aus der Pakete irgendwohin nach Amerika geschickt hat. Mehr wollte strato nicht sagen Hat einer ne Idee wer oder was sich da an meinem Server zu schaffen macht und wie ich mich davor schützen kann.


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

17.03.2011, 09:53
eagle275 Erfahrener Benutzer Registriert seit: 01.09.2010 Beiträge: 4.563 PHP-Kenntnisse: Fortgeschritten	Zitat "Passwörter geändert" - wenn die vorher und hinterher unsicher sind, dann bringt es nix.. Prüf lieber mal deine Logs auf dem Stratoserver, um herauszufinden, was los war .... der FTP-Zugang sollte ja funktionieren Allerdings geizt Strato ziemlich mit Informationen - vielleicht haben die dich im Verdacht, selbst dahinter zu stecken .... Machn Backup deiner Webseite(n) und Datenbank(en) dann kannst du im Fall der endgültigen Sperrung relativ schnell was neues aufziehen ... __________________ "Irren ist männlich", sprach der Igel und stieg von der Drahtbürste

17.03.2011, 11:39
eagle275 Erfahrener Benutzer Registriert seit: 01.09.2010 Beiträge: 4.563 PHP-Kenntnisse: Fortgeschritten	verschickst du html-Mails von deinem Webserver aus, die Bilder aus deiner Webseite enthalten ? __________________ "Irren ist männlich", sprach der Igel und stieg von der Drahtbürste

17.03.2011, 11:57
Wolla Moderator Registriert seit: 06.06.2008 Beiträge: 4.945 PHP-Kenntnisse: Fortgeschritten	Hast du auf deinem Server ein Kontaktformular? Also ein Script, bei welchem Leute auf einer Server einen Text eintippen können, der dir dann zugemailt wird? Zu deinem letzten Log-Eintrag: webmail.***.de/imp/login.php fordert ein Bild von deinem Server an. Schau dir die Seite mal an. Kann es sein, dass 100.000 Seiten in USA das gleiche machen? __________________ Warum denkt mein Hund eigentlich immer dann, wenn es an der Tür klingelt, es sei für ihn?*

17.03.2011, 12:25
pfump Erfahrener Benutzer Registriert seit: 29.03.2008 Beiträge: 576	Ich bin mir grad nicht sicher was ihr meint Also es geht um diese Seite hier Auf dieser gibt es ein Kontaktformular. Das webmail.****.de/imp/login.php ist der webmailer (horde) Das Bild ist das Logo von horde.

17.03.2011, 12:34
Wolla Moderator Registriert seit: 06.06.2008 Beiträge: 4.945 PHP-Kenntnisse: Fortgeschritten	Du schriebst, dass da sehr viele Einträge webmail.***.de/imp/login.php existieren. Das ist ja eigentlich ein Link, den nur du kennen solltest. Wenn du mit deinem Kontaktformular nicht aufgepasst hast und jemand über deinen Server Spam verschickt, dann müsstest du das doch auch in den Logs sehen, oder? __________________ Warum denkt mein Hund eigentlich immer dann, wenn es an der Tür klingelt, es sei für ihn?*

17.03.2011, 12:46
pfump Erfahrener Benutzer Registriert seit: 29.03.2008 Beiträge: 576	Das webmail.*** ist ein Link zum Login des Webmailers von Horde. Im Kontaktformular werden die Mails per mail() gesendet.

17.03.2011, 12:51
eagle275 Erfahrener Benutzer Registriert seit: 01.09.2010 Beiträge: 4.563 PHP-Kenntnisse: Fortgeschritten	vielleicht hat ja ein Scherzkeks den Link zum Login in einem Gästebuch veröffentlicht - oder taucht als Unter-Ergebnis bei ner Suchmaschinen-Abfrage auf .... und das mail() nich so der Bringer is, hast du hier sicher nicht nur 1 mal gelesen .... __________________ "Irren ist männlich", sprach der Igel und stieg von der Drahtbürste

17.03.2011, 13:26
pfump Erfahrener Benutzer Registriert seit: 29.03.2008 Beiträge: 576	Ja, das hab ich schon das 1 oder andere mal gelesen. Aber daran wird es wohl eher nicht liegen oder? Man sollte wohl eine Mail-Klasse verwenden. Welche Mail-Klasse sollte man denn nehmen?