uForum.uz - Взломали Billur...

uForum.uz (https://uforum.uz/index.php)

- ActiveCloud (https://uforum.uz/forumdisplay.php?f=455)

- - Взломали Billur... (https://uforum.uz/showthread.php?t=11411)

Мужики, далее уже не конструктивно.
Надеюсь что Биллур и остальные владельцы хостинг-площадок сделают из этого случая правильные выводы и обратятся за аудитом по безопасности к компетентным компаниям :)

(мягклиния форева!!!!!! Но sharifa бизнес партнер IBM ISS ... хе-хе)

Цитата:

Сообщение от Nadir Zaitov (Сообщение 335961)

Однако судя по теме речь идет о взломе сервера из-за

Надир-ака, никому пока ничего неизвестно, как сломали. Так что любая информация как минимум непроверена

Цитата:

Сообщение от Aziz D. Jumakulov (Сообщение 335844)

Мы не настолько эмоциональны говорить такие слова на ветерь. Эти слова были сказаны с целью психического воздействия на предпологаемого вредителя (как я уже говорил, есть версия умышленной атаки со стороны не доброжелателя, который может находиться прямо здесь под носом, турок здесь ни причем, турку до нас дела нет). А высказывающие против этого мнения люди пусть подумают об этом. Вам не все равно если не вы этот самый тупой идиот на свете?

Оффтоп:

да, он среди нас... И он щас обидится, представиться своим реальным именем и начнет качать права. Прям вот в этой ветке. Он же сидит и читает ее запоем.. :biggrin::biggrin::biggrin:

"Звучит с натяжкой" - мягко сказанно, имхо...

Оффтоп:

Цитата:

Сообщение от Evgeniy Lopatin (Сообщение 336008)

да, он среди нас... И он щас обидится, представиться своим реальным именем и начнет качать права. Прям вот в этой ветке. Он же сидит и читает ее запоем..

Чёрт, Евгений, ну зачем Вы меня запалили?! :???:

Оффтоп:

Цитата:

Сообщение от Tatyana Belyakova (Сообщение 336010)

Оффтоп:

Цитата:

Сообщение от Evgeniy Lopatin (Сообщение 336008)

Чёрт, Евгений, ну зачем Вы меня запалили?! :???:

Ведьма! На костер её!
Вот что мешает развиваться Узнету :biggrin: :biggrin: :biggrin:

Цитата:

Сообщение от Tatyana Belyakova (Сообщение 336010)

Оффтоп:

Цитата:

Сообщение от Evgeniy Lopatin (Сообщение 336008)

Чёрт, Евгений, ну зачем Вы меня запалили?! :???:

Оффтоп:

А я сразу заподозрил...учитывая что она начала тему...а мотив - продвижение хостинга Super iMax по 30$. за 100мб места)))

Оффтоп:

Цитата:

Сообщение от Talgat Ravilov (Сообщение 336024)

мотив - продвижение хостинга Super iMax по 30$. за 100мб места)))

Теперь все сразу, конечно, побегут брать, ага. Беда беда, что делать?! :shok:

Товарищ Азиз, который всё ещё диреткор! Вы вообще ответите на вопрос или нет?! Или вы запустили бота, который только и отвечает "тупой турецкий хакер. найдём в угол поставим"
По делу отвечайте уже!!!!

Цитата:

Сообщение от Nadir Zaitov (Сообщение 335961)

ddos и корпоративный сервер - интересно, расскажите как это работает?

не совсем понял, что именно рассказать?

Цитата:

Сообщение от Nadir Zaitov (Сообщение 335961)

Однако судя по теме речь идет о взломе сервера из-за отсутствия фильтрации при открытых портах для доступа к ssh или чему там еще (iptables или что там Эркин-ака говорил?).

скорее всего взломали из-за уязвимости в апаче или из-за кривых пользовательских скриптов.

Тут я смотрю понаписали кучу разного.
И так, попробую внести ясность:
Сервер на линуксе, и изначально был заказан уже настроенным, и полностью укомплектованным всем необходимым софтом. Что такое фаерволл мы прекрасно знаем, и он был настроен на то, чтобы пропускать только объявленные сервисы, среди которых был апач, почта (qmail), proftpd, DNS и сам Plesk. Всё остальное было либо вообще закрыто, либо доступно только дя определённых адресов.

После взлома с сервера были удалены все файлы, в именах которых встречался корень log. Разумеется, операционная система от такого погнала... Все логи вычищены напроч. Попытка восстановить данные ничего не дала. (пробовал около 5 разных утилит). К сожалению, определить точно, как был взломан сервер оказалось невозможным, так как логи выдрали с сервера с корнем...
Возможные способы взлома:
1 - чей то кривой скрипт + какойнибудь эксплойт (подобрать случайно пароль рута было нереально. 12 знаков из цифр и букв разного регистра...)
2 - Какая либо уязвимость в панели управления Plesk, в частности, возможно в системе авторизации SSO.

Сервер был взломан в 6 утра первого января. Разумеется, в такое время никто не сидел, и не мониторил сервера.

вот собственно так всё и произошло.