Hilfe Angif auf Homepage(HTML/Crypted.Gen) Trojaner

[Forumsgast]

Hallo Leute,

ich habe ein kleines prob mit meiner page. von Google erhilt ich plötzlich die mitteilung das sie für meine seite eine Virenwarnung rausgegeben haben.
beim herrunterladen der aktuellen page schlug auch mein (AVIRA) arlam.
bei der überprüfung stellte ich fest das sich auf jeder Seite der page eine zusätzlicher schript im php code befand.
- alles gelöscht und wieder drauf.
- 3 tage später das selbe

erst jetzt habe ich sämtliche ftp zugänge geändert und habe den eingebundenen chCounter herausgenommen.

chConter ist nur eine vermutung aber es kann selbstverständlich auch eine lücke in meiner programmierung sein.

kann mir vieleicht einer einen tip geben wo ich ansetzen kann um die lücke in meiner programmierung zu finden ???

ich danke für jeden hinweis

[Forumsgast]

Ja am besten den Code anschauen ...

Wie sollen wir dir den Helfen? Es wird wohl an einer Sicherheitslücke liegen wenn jemand über deinen Code etwas manipulieren kann ... genaues können wir dir natürlich nicht sagen da wir keine weiteren Informationen von dir haben.

[Forumsgast]

Hallo Flor1an,

danke erstmal für deine schnelle Antwort,

"genau den code anschauen" ist natürlich eine weitreichende aussage die auf alle fälle richtig sein wird aber bring mir leider nicht viel weiter denn das weiß ich ja selber.

gehe ich richtig in der annahme das sich ein Hacker egal om manuell oder maschienell nur über irgendwelche eingabefelder zugriff verschaffen kann?

gibt es ein script für diese grafischen zugangskontrollen umm maschienelle zugriffe auszuschließen den man als "nicht Profi" einbinden kann ?

vieleicht gibts ja auch bestimmte Fehler die anfänger bei programmierungen machen um den hackern die türen zu öffnen ? werde ich dann bestimmt auch gemacht haben.

[Forumsgast]

gehe ich richtig in der annahme das sich ein Hacker egal om manuell oder maschienell nur über irgendwelche eingabefelder zugriff verschaffen kann?

Nö. Auch über Direktaufruf der Scripte, Serverfehlkonfiguration, bekannte Passwörter (z.B. Trojaner späht Daten von Filezilla aus etc.)

[Forumsgast]

Serverlogs analysieren. Mühsam aber unumgänglich.

[Forumsgast]

Hallo Nikosch,

Nö. Auch über Direktaufruf der Scripte, Serverfehlkonfiguration, bekannte Passwörter (z.B. Trojaner späht Daten von Filezilla aus etc.)

hier hast du mir einen anhaltspunkt gegeben,
1. war auch mein rechner mit bootvieren verseucht
2. benutze ich filezilla

habe den rechner komplett gereinigt und die laufende platte mit s0fix gelöscht dann neu aufgesetzt
die passwörter wurden auch geändert

könnte ich ja eventuell glück haben das es das gewesen war

[Forumsgast]

Ich würde einem einmal kompromittierten System nicht mehr trauen. Platt machen & neu aufsetzen, am besten inklusive einer Neupartitionierung. Nur so kannst du wirklich sicher sein, ein sauberes System zu haben (wer weiss, wo sich der Virus/Trojaner überall festgesetzt hat)

[Forumsgast]

http://www.php.de/server-hosting-und...tml#post574223

[Forumsgast]

hallo dennis,

Serverlogs analysieren. Mühsam aber unumgänglich.

ist ne gute idee wenn ich wüsste auf was ich da achten muss, habe es gerade offen kann aber nicht wirklich was ersichtliches feststellen an den 2 tagen wo ich mit den angriff rechnete

[Forumsgast]

denn werd ich mal zuerst den filezilla wieder runterschmeißen und mir nach was anderen umschauen.
denn werd ich ja den chCounter wieder drauf stellen können.

danke erstmal allen für eure hilfe

[Forumsgast]

ich hab nach der vor ein paar Monaten rausgegebenen Filezilla-Warnung auf WinSCP umgestellt und dort ein Masterpasswort vergeben. Die Original-FTP-Zugangsdaten werden mit dem masterPW verschlüsselt gespeichert und liegen nicht wie bei FileZilla offen rum.

[Forumsgast]

hallo dennis,
ist ne gute idee wenn ich wüsste auf was ich da achten muss, habe es gerade offen kann aber nicht wirklich was ersichtliches feststellen an den 2 tagen wo ich mit den angriff rechnete

Schwierige Sache. Erstmal gilt: alle "Beweise" sichern. Sprich: die ganzen kompromitierten Daten irgendwo hin kopieren (wo sie selbstverständlich nicht vom Webserver erreicht/ausgeliefert werden können). Guck dir das Datum an, wann die Dateien verändert wurden und schau nach, ob in den Access-Logs zu dem Zeitpunkt etwas auffälliges geschehen ist. Massive Aufrufe von einer IP? Auffällige Requests? So kannst du evtl. herausfinden, über welches Skript das ganze eingeschleust wurde. Ist eine mühselige, aber notwendige Arbeit, wenn du das "Loch" stopfen willst.