File sconosciuto

geggiot

File sconosciuto

In questi giorni mi sono accorto della presenza di un file html non creato da me, inserito nelle cartelle dei miei 3 domini hostati presso lo stesso server. Dopo averlo cancellato ho fatto un pò di ricerche ed ho scoperto che molti domini dello stesso server presentano questo file html. Vorrei sapere se è possibile risalire o almeno capire come è finito lì questo file.
Se servono altre informazioni chiedete pure.

Grazie

vhosting

Devi controllare almeno glia access_log e in caso i log FTP.

Ciao.

geggiot

Ok, grazie!
Li visiono e vi faccio sapere.

geggiot

Ho letto i log di accesso ed ho capito che è stata uppata una shell sul mio spazio.

vhosting

Significa che hai dei seri bug di sicurezza del tuo software, aggiornalo.

geggiot

Ho wordpress aggiornato con plugin aggiornati e senza plugin inutili, non so proprio a chi imputare questa mancanza di sicurezza.

vhosting

Se dall'access_log hai visto che ti hanno inserito una shell dovresti anche vedere da che file hanno fatto l'exploit ergo puoi risalire ad un eventuale plugin incriminato.

geggiot

Grazie vhosting per le risposte, ma in ordine cronologico c'è l'accesso alla pagina di login

184.164.xxx.xxx - - [16/Aug/2011:10:24:39 -0500] "POST /wp-login.php HTTP/1.1" 302 - "http://miosito.it/wp-login.php?redirect_to=http%3A%2F%2Fmiosito.it%2Fwp-admin%2F&reauth=1" "Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko/20100101 Firefox/5.0"

184.164.xxx.xxx - - [16/Aug/2011:10:24:42 -0500] "GET /wp-admin/load-styles.php?c=1&dir=ltr&load=dashboard,plugin-install,global,wp-admin&ver=8e77e2d8a0596495034b9c96abb95f68 HTTP/1.1" 200 18828 "http://miosito.it/wp-admin/" "Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko/20100101 Firefox/5.0"

184.164.xxx.xxx - - [16/Aug/2011:10:26:17 -0500] "GET /wp-content/plugins/akismet/akismet.css?ver=3.2.1 HTTP/1.1" 200 464 "http://miosito.it/wp-admin/plugin-install.php?tab=upload" "Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko/20100101 Firefox/5.0"

184.164.xxx.xxx - - [16/Aug/2011:10:26:33 -0500] "POST /wp-admin/update.php?action=upload-plugin HTTP/1.1" 200 24415 "http://miosito.it/wp-admin/plugin-install.php?tab=upload" "Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko/20100101 Firefox/5.0"

184.164.xxx.xxx - - [16/Aug/2011:10:28:47 -0500] "POST /wp-content/plugins/hello-dolly/hello.php?y=/home/miosito/public_html/&x=upload HTTP/1.1" 200 5292 "http://miosito.info/wp-content/plugins/hello-dolly/hello.php?y=/home/miosito/public_html/&x=upload" "Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko/20100101 Firefox/5.0"

vhosting

plugins/hello-dolly ....

geggiot

Non l'ho mai avuto, quello di default l'ho cancellato dopo l'installazione di wp e il file php nella directory hello-dolly, hello.php era la shell. Credo che il tizio abbia uppato la shell nella directory plugins/hello-dolly e rinominato il file in hello.php per non farmene accorgere.

xlogic

Hai letto il codice del file html?

geggiot

Si, solita pagina di protesta contro gli infedeli etc...

xlogic

Se ti può essere di aiuto, assicurati di avere l'ultima versione di Filezilla (se lo usi) e prova ad installare i plugin: Exploit Scanner e Theme Authenticity Checker (TAC).

geggiot

xlogic

Hai trovato qualcosa?

geggiot

No, niente di malevole, purtroppo mi sono accorto che il tizio è entrato dalla porta principale,cioè da wp-login e poi con il form di update ha caricato la shell.
Ancora però non sono riuscito a capire come sia venuto a conoscenza dell'username e della password.

xlogic

Un consiglio che ti posso dare e che sicuramente avrai già applicato, cambia tutte le pass compreso il pannello Hosting.

geggiot

GRazie per il consiglio, mi mancava solo quella dell'hosting.