Lieber Nicholas,
woran lag es denn, dass das passieren konnte ? Wie ist der Angreifer auf Deinen Server gelangt ? Hat man Dir Paßworte entwendet ? Unsicherer FTP-Dämon, andere Anwendung, SSL kaputt, Sicherheitslöcher im Betriebssystem oder doch SPIP selber ? Ist Dein Rechner virenfrei und Dein WLAN sicher ?
Die Vorgehensweise nach dem Bemerken eines "Einbruchs" folgt immer diesem Drehbuch :
0. System vom Netz nehmen bzw. mindestens angreifbare Dienste abstellen. Wenn möglich Kommunikation mit Rechner per sicherer Konsole. Du bist der Chirurg. Arbeite mit desinfiziertem Besteck.
1. Spuren sichern (SPIP-Backup, außerdem vollständige Kopie von allen Dateien und Datenbanken anlegen, das außerhalb des betroffenen Servers; falls im Zugriff sollte man auch Systemdateien des Servers sichern)
2. Analyse/ Beschreibung der Änderungen durch den Angreifer / Analyse des Angriffsvektors. Das geht am besten, wenn man aktuelle Systemabzüge hat oder immer ein Monitoring laufen läßt. (Das machen professionelle Provider, die dann sagen können, wer wann und von wo auf den Server zugegriffen hat und welche Änderungen zu einem bestimmten Zeitpunkt erfolgt sind. Du kannst Änderungszeitpunkte von SPIP-Artikeln selber nachvollziehen, indem Du in die Datenbank schaust. Vielleicht findest Du etwas im Änderungsprotokoll / der Versionsverwaltung von SPIP. Mit dem Wissen um den Zeitpunkt kannst Du weiterforschen. Auch im Dateisystem lassen sich manchmal komische Zeitstempel finden.)
3. Löschen des alten und Aufspielen eines sauberen Systems (je nach Ergebnis von 2. Anwendung, Service/Dämon oder ganzer Server, am besten immer alles, denn man weiß nie, woran sich ein Angreifer noch zu schaffen gemacht hat. Wenn man sicher sein kann, daß der Angreifer im CHROOT-Jail geblieben ist, reicht es im Prinzip, diesen Bereich zu säubern.)
3. Wiederherstellen der Daten. Diese müssen vorher genau auf Änderungen und vor allem auf Schadcode geprüft werden.
4. Alle Paßworte erneuern /ändern und die Rechner nicht vergessen, mit denen auf den Server zugegriffen wird. Häufig werden Passworte von Windows-Trojanern gelogt und dann für Angriffe verwendet. Andere Skripte / sämtliche Anwendungen auf dem Webserver müssen geprüft werden. Sollte sich also noch ein anderes CMS (oder was für ein Skript auch immer, selbst programmiert oder nicht) finden, weg damit oder mindestens auf den neuesten Stand bringen.
Zu SPIP kann ich sagen, daß ein Update von 3.0 auf 3.1 in der Regel kein Problem darstellt, es sei denn man verwendet Plugins, die dabei Probleme machen können. Also Plugins und eigenen PHP-Code prüfen und neueste Version einspielen.
Neueste Version von SPIP
http://www.spip.net/de_download
Wie man ein Update macht ohne Daten zu verlieren, ist hier beschrieben :
http://www.spip.net/fr_article1318.html
(Artikel auf FR mit Links zu weiteren Sprachen, bitte auf Aktualität achten)
Eine aktuelle französische Anleitung zu Umgang mit gehackten Sites findet sich hier:
SPIP hacké, que faire ?
http://contrib.spip.net/SPIP-hacke-que-faire?lang=fr
Sollte noch ein altes SPIP (2.xx) laufen, das nur mit großem Aufwand durch ein SPIP 3.1 ersetzt werden kann, hilft der Sicherheitsschirm, der für ein altes SPIP sämtliche Zugriffe per Web filtert und SPIP recht gut gegen Manipulationen abschottet. Natürlich gilt auch hier, daß eigener Code geprüft werden muß, denn er wird möglicherweise nicht vom SPIP-Sicherheitsschirm abgesichert.
Der Sicherheitsschirm
Écran de sécurité
http://www.spip.net/fr_article4200.html
Download Sicherheitsschirm
http://zone.spip.org/trac/spip-zone/browser/core/securite/ecran_securite.php?format=txt
Das ist viel Arbeit, aber nur mit gründlichem und systematischem Vorgehen kann man die Bösewichter zuverlässig verjagen.
Viel Erfolg !
grusz klaus++
On Wed, 10 Dec 2014 14:16:31 +0100, info@mozaikzeitung.ch wrote:
Lieber Klaus, liebe Spip-Kollegin, -Kollege
Hatte letzthin ein Hack-Attack mit vielen lustigen Zombies. Das war
vor drei Wochen. Ich habe daraufhin alle überflüssigen User
gemüllt, die Spip und FTP PW gewechselt und die Daten aus dem
DB-Backup neu eingespielt. Hat aber nicht gereicht. Gestern ist ein
Geist aufgetaucht und hat anscheinend irgendwie auf Französisch und
Englisch geschrieben "Your Site is not secure". Ganz offensichtlich.
Hat jemand von Euch eine Ahnung, was da abgeht?? Die Version ist 3.0
- muss ich updaten? Wie erfolgt der Angriff - mehr nervig als
kriminell, aber immerhin ...
Liebe Grüsse
Nicholas
