Chat gehackt......

Chat gehackt......

von Michael Hüllenhagen -
Anzahl Antworten: 18

Hoffe der ein oder andere Experte kann mir helfen.

Ich pflege für einen kleinen Bildungsträger hier in Dortmund eine Moodle-Plattform auf der ein paar Kurse für Bürokaufleute ( insgesamt 4) hinterlegt sind.

Jeder Kurs hat seinen eigenen Chatraum, über den die Dozenten in den Nachmittagsstunden in Verbindung treten und Fragen beantworten.

Das klappte auch bisher rect gut.
Seit gestern zeigt das Chatfenster allerdings sowohl links als auch rechts (abhängig vom Kurs) statt Beiträgen oder Mitgliedern einen ellenlangen Link auf Viagra-Produkte.

Bild im Anhang.

Auf der rechten Seite ist am Ende noch der User zu sehen.

Ich bin eher Moodle-Nutzer als Moodle-Experte und gehe davon aus, das eine Datei auf dem Server gehackt wurde. Leider fehlt mir die Kenntnis zu erkennen, welche Datei da verändert worden sein könnte.

Hier noch ein paar Info´s:

Moodle Version 1.8

System wird auf einem Server bei einem freien Anbieter gehostet.

Hoffe das und der Anhang hilft weiter.

brauche dringend den ein oder anderen Tipp.

Schon mal ´Dank im Voraus

Anhang chat1.jpg
Mittelwert:  -
Als Antwort auf Michael Hüllenhagen

Re: Chat gehackt......

von Maik Riecken -
Befindet sich im Hauptverzeichnis eine Datei mit dem Namen licence.php?

Gruß,

Maik
Mittelwert:  -
Als Antwort auf Maik Riecken

Re: Chat gehackt......

von Michael Hüllenhagen -

Nein, kann ich nicht finden.......
Wozu?Tschuldige die etwas blöde Frage aber.......erstmal Danke für Deine schnelle Reaktion.

Ach ja, habe mir in der letzten Stunde die Quelltexte der Seiten die im Browser generiert werden angesehen.

Die unerwünschten Links befinden sich auf jeder Seite.
Hier mal ein Auszug:

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> <html xmlns="http://www.w3.org/1999/xhtml" dir="ltr" lang="de" xml:lang="de"> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8" /> <link rel="stylesheet" type="text/css" href="http://dbs-academy.bildungsserver-dortmund.de/theme/standard/styles.php" /> <link rel="stylesheet" type="text/css" href="http://dbs-academy.bildungsserver-dortmund.de/theme/dbs/styles.php" /> <meta name="description" content="Die Lernplattform „dbs-academy“ ist eine Komplettlösung für DBS, um E-Learning in verschiedenen Bildungs- und Qualifizierungsangeboten einsetzen zu können.  " /> <!--[if IE 7]> <link rel="stylesheet" type="text/css" href="http://dbs-academy.bildungsserver-dortmund.de/theme/standard/styles_ie7.css" /> <![endif]--> <!--[if IE 6]> <link rel="stylesheet" type="text/css" href="http://dbs-academy.bildungsserver-dortmund.de/theme/standard/styles_ie6.css" /> <![endif]--> <meta name="keywords" content="moodle, DBS-Academy E-Learning " /> <title>DBS-Academy E-Learning</title> 
 <link rel="shortcut icon" href="http://dbs-academy.bildungsserver-dortmund.de/theme/dbs/favicon.ico" /> <!--<style type="text/css">/*<![CDATA[*/ body{behavior:url(http://dbs-academy.bildungsserver-dortmund.de/lib/csshover.htc);} /*]]>*/</style>--> <script type="text/javascript" src="http://dbs-academy.bildungsserver-dortmund.de/lib/javascript-static.js"></script> <script type="text/javascript" src="http://dbs-academy.bildungsserver-dortmund.de/lib/javascript-mod.php"></script> <script type="text/javascript" src="http://dbs-academy.bildungsserver-dortmund.de/lib/overlib.js"></script> <script type="text/javascript" src="http://dbs-academy.bildungsserver-dortmund.de/lib/cookies.js"></script> <script type="text/javascript" src="http://dbs-academy.bildungsserver-dortmund.de/lib/ufo.js"></script> <script type="text/javascript" defer="defer"> //<![CDATA[ setTimeout('fix_column_widths()', 20); function openpopup(url,name,options,fullscreen) { fullurl = "http://dbs-academy.bildungsserver-dortmund.de" + url; windowobj = window.open(fullurl,name,options); if (fullscreen) { windowobj.moveTo(0,0); windowobj.resizeTo(screen.availWidth,screen.availHeight); } windowobj.focus(); return false; } function uncheckall() { void(d=document); void(el=d.getElementsByTagName('INPUT')); for(i=0;i<el.length;i++) { void(el[i].checked=0); } } function checkall() { void(d=document); void(el=d.getElementsByTagName('INPUT')); for(i=0;i<el.length;i++) { void(el[i].checked=1); } } function inserttext(text) { text = ' ' + text + ' '; if ( opener.document.forms['theform'].message.createTextRange && opener.document.forms['theform'].message.caretPos) { var caretPos = opener.document.forms['theform'].message.caretPos; caretPos.text = caretPos.text.charAt(caretPos.text.length - 1) == ' ' ? text + ' ' : text; } else { opener.document.forms['theform'].message.value += text; } opener.document.forms['theform'].message.focus(); } //]]> 
</script> </head> <body class="course course-1 notloggedin lang-de_utf8" id="site-index"><i style="display:none"> xepxep <a href=http://aims2.ideal.asu.edu/?search=viagra>viagra</a> <a href=http://aims2.ideal.asu.edu/?search=buying+viagra>buying viagra</a> <a href=http://aims2.ideal.asu.edu/?search=buying+viagra+online>buying viagra online</a> <a href=http://aims2.ideal.asu.edu/?search=does+viagra+help+you+have+multiple+erections>does viagra help you have multiple erections</a> <a href=http://aims2.ideal.asu.edu/?search=cheapest+uk+supplier+viagra>cheapest uk supplier viagra</a> <a href=http://aims2.ideal.asu.edu/?search=viagra+suppliers+in+the+uk>viagra suppliers in the uk</a> <a href=http://aims2.ideal.asu.edu/?search=buy+viagra+online+inurl>buy viagra online inurl</a> 
<a href=http://aims2.ideal.asu.edu/?search=purchase+viagra+online>purchase viagra online</a> <a href=http://aims2.ideal.asu.edu/?search=buy+cheap+viagra+online+uk>buy cheap viagra online uk</a> <a href=http://aims2.ideal.asu.edu/?search=herbal+viagra+reviews>herbal viagra reviews</a> <a href=http://aims2.ideal.asu.edu/?search=viagra+equivalent>viagra equivalent</a> <a href=http://aims2.ideal.asu.edu/?search=viagra+for+sale+without+a+prescription>viagra for sale without a prescription</a> <a href=http://aims2.ideal.asu.edu/?search=women+does+viagra+work>women does viagra work</a> <a href=http://aims2.ideal.asu.edu/?search=viagra+uk>viagra uk</a> ...usw.
Scheint als würde der Teil mit den Links in jede generierte HTML-Seite eingefügt.
Hoffe das hilft noch etwas weiter.
Gruß Michael
Mittelwert:  -
Als Antwort auf Maik Riecken

Re: Chat gehackt......

von Michael Hüllenhagen -

Nein, kann ich nicht finden.......
Wozu?Tschuldige die etwas blöde Frage aber.......erstmal Danke für Deine schnelle Reaktion.

Mittelwert:  -
Als Antwort auf Michael Hüllenhagen

Re: Chat gehackt......

von Ralf Hilgenstock -
Nutzerbild von Besonders aktive Moodler Nutzerbild von Deutsche Moodle Übersetzer Nutzerbild von Entwickler Nutzerbild von Moodle Partner Nutzerbild von Translators
Hallo,

bitte prüfe zunächst einmal, was passiert wenn du eine anderes Theme auswählst. Sollte bei einem der moodle-Standard-Themes das Problem nicht auftreten, stammt das Problem aus der Datei header.html in dem Theme, das auf der Seite jetzt verwandt wird.


ralf
Mittelwert:  -
Als Antwort auf Ralf Hilgenstock

Re: Chat gehackt......

von Maik Riecken -
"einem Server bei einem freien Anbieter gehostet"
Das beißt sich für mich massiv mit dem Wort "Dozent". Bei kostenlosen Anbietern gehostete Seiten können so wichtig ja nicht sein...

Ich fragte nach der licence.php, weil das ein Hinweis auf einen relativ verbreiteten Moodlehack darstellt.

Es kann die von Ralf angesprochene Datei sein, jedoch auch ein direkter Angriff auf den zugrundeliegenden Webserver, auf den du wahrscheinlich keinen Einfluss hast.

Gruß,

Maik


Mittelwert:  -
Als Antwort auf Maik Riecken

Re: Chat gehackt......

von Michael Hüllenhagen -

Hallo Maik,
ohne die Diskussion in die Länge ziehen zu wollen.......
Warum beißt sich das Wort Dozent mit einem Webauftritt bei einem freien Hoster?

Die Firma liegt bei einer Größenordnung von 5 festen und ca 8 freien Mitarbeitern.
Einen festangestellten netzwerkadministrator gibt es nicht und meine Wenigkeit schneidet sich die ein oder andere Stunde aus den Rippen um zumindest das betagte Netzwerk am Laufen zu halten und über Moodle die entsprechenden Kurse anzubieten.

Ich konnte dem Geschäftsführer zwar Moodle verkaufen, nicht aber die Anschaffung eines neuen Servers mit entsprechenden Sicherheitsvorkehrungen.

Das Wort Webserver sagt allen in der Firma genauso wenig wie der Ausdruck DMZ.

Bei einem freien Anbieter zu hosten war also eigentlich eine Notlösung, die auch bisher (knapp 6 Monate) klaglos lief.

Der Hoster ist übrigens all-inkl.

Da alle Kurse mit Telelearning angeboten weren mussten, der Projektleitung aber überhaupt nicht klar war, wie das zu realisieren ist, blieb der schwarze Peter bei mir hängen.

Moodle schien und scheint mir da eine wirklich gute Lösung zu sein.....wenn es die bösen Hacker nicht gäbe.

Habe gerade nochmal eine andere moodle-Seite, die auf dem Webserver gehostet wird aufgerufen.
Auf der Seite ist, was den Quelltext im Browser angeht alles in Butter.
Es scheint also nur die Seite des Bildungträger "befallen" zu sein.
Ich vermute daher, das nicht der gesamte Webserver befallen ist.

Gruß Michael

Mittelwert:  -
Als Antwort auf Ralf Hilgenstock

Re: Chat gehackt......

von Michael Hüllenhagen -

Hallo Ralf,

taucht auch bei den moodle-Standard-Themen auf.
Damit scheint sich Deine Vermutung nicht zu bestätigen.
Werde mir die Datei aber sofort einmal anschauen.

Zunächst herzlichen Dank.

Gruß Michael

Mittelwert:  -
Als Antwort auf Michael Hüllenhagen

Re: Chat gehackt......

von Michael Hüllenhagen -

Okay, vielleicht noch ein Hinweis:
Die config.php umfasst mittlerweile 61kb und wurde zuletzt am 27.1.2009 als einzige Datei geändert.
Könnte in der Datei ein Hack versteckt sein?

Kann sie weder per FTP öffnen/lesen. Müsste sie also blind überschreiben.

Oder bin ich da auf dem Holzweg ?

Gruß Michael

Mittelwert:  -
Als Antwort auf Michael Hüllenhagen

Re: Chat gehackt......

von Jörg Weißenhorner -
Hallo,

wem gehört die config.php? Kannst Du sie herunterladen und lokal mit einem Editor öffnen?

Ungeachtet dessen würde ich versuchen
- die Kurse zu sichern
- das System plattmachen und neu aufspielen.

Danach sind mindestens die relevanten Passwörter des Hostings zu ändern.

Grüßle
Jörg

Mittelwert:  -
Als Antwort auf Jörg Weißenhorner

Re: Chat gehackt......

von Michael Hüllenhagen -

Hallo Jörg,
Problem (vorerst) gelöst.
Die config.php war der Verursacher. Die letzte Änderung passte mit dem Auftreten des Fehlers.
Habe mir von meinem Hoster das backup (letztes Backup knapp 5 Stunden vor dem "Unfall") überspielen lassen und die gehackte config mit dem Backup überschrieben.
Jetzt tauchen die Seiten und die Chats wieder sauber auf.

Vielleicht noch eine Frage:

Habe jetzt erstmal mein FTP-Passwort geändert.
Was kann ich noch tun?

Gruß von Nachtschichtler zu Nachtschichtler

Michael

Mittelwert:  -
Als Antwort auf Michael Hüllenhagen

Re: Chat gehackt......

von Jörg Weißenhorner -
Unbedingt die DB-Passwörter ändern. Das PW steht im Klartext in der config.php.

Du musst das nach dem Ändern natürlich auch in der config.php anpassen.

Ich würde mir auch überlegen, alle Hosting-relevanten PWs zu ändern.
Dein Admin-PW von moodle sowieso!

Aber wie gesagt, das ist halbgar.... Retten, was zu retten ist -> plattmachen -> neu aufspielen.

Grüßle
Jörg

P.S. im Moment kein Nachtdienst ;)
Mittelwert:  -
Als Antwort auf Jörg Weißenhorner

Re: Chat gehackt......

von Maik Riecken -
Hallo,

Ich habe "frei" mit "kostenlos" gleichgesetzt - daher meine Verwunderung. Da all-inkl eigentlich einen guten Job macht, liegt das Loch wahrscheinlich in deiner alten Moodleversion.

Ich rate wie Jörg zu einer Neuinstallation einer aktuellen Version mit komplett neuen Passwörtern. Kurse kannst du über Kurssicherungen erhalten/wiedereinspielen.

Gruß,

Maik
Mittelwert:  -
Als Antwort auf Maik Riecken

Re: Chat gehackt......

von Michael Hüllenhagen -

Hallo Maik,

sehe das mit dem guten Job bei all-inkl ähnlich.
Habe die Jungs gestern nacht um 0:30 angerufen und das auf einer "normalen" Festnetznummer, also bei Telefonflatrate kostenlos..... schon erstaunlich.

Hier noch die ein oder andere Frage zum Update/Sicherung

Kann Moddle upgedatet werden, oder müssen alle alten Dateien gelöscht und die neue Version komplett neu installiert werden ?

Werden bei der Kurssicherung alle hochgeladenen Dateien von Dozenten (Unterrichtsmaterial) und Teilnehmern (eingereichte Aufgaben) mit gesichert?

Bisherige Sicherungen: Kurse einmal wöchentlich, Datenbank 1 mal wöchentlich.

Nochmals Danke für Eurer Hilfe!

Gruß
Michael

Mittelwert:  -
Als Antwort auf Michael Hüllenhagen

Re: Chat gehackt......

von Jörg Weißenhorner -
Ich würde so vorgehen:

Online:
1a) Kurse sichern
- einmal mit den hochgeladenen Dateien (Nutzer- und Kursdateien einbeziehen)
- einmal ohne diese Dateien, falls hier auch ein Schabernack stattgefunden hat.
1b) Kurse herunterladen

Auf einem lokalen Rechner: (ggf Xampp installieren)

2a) lokal die Version installieren, die aktuell online war ( war glaube ich 1.8.4)
2b) Kurse einspielen und überprüfen
2c) upgrade auf die aktuellste (!) Moodle-Version (1.9.4+). Sagte ich schon, dass Du die aktuellste Version nehmen sollst? zwinkernd

Hintergrund: Wir hatten einst Probleme, einen unter 1.8.5 gesicherten Kurs auf 1.9.2 zu importieren. Import ging zwar, aber viele Funktionalitäten waren zerrümpelt. Ich spielte dann den Kurs auf einer 1.8.5 wieder ein, machte ein upgrade und konnte dann die Kurse problemlos in 1.9.x einspielen. Ich denke, das liegt an den weitreichenden Veränderungen im Versionssprung. Daher dieses Empfehlung.

Weiter im Programm:

2d) Kurse erneut sichern und abspeichern

Wieder online
3a) Moodle nochmals backupen (inkl DB und Moodledata).... sicherheitshalber
3b) Moodle komplett löschen
3c) PW erneuern: Hosting und Datenbanken
3d) Moodle (ich erwähnte schon die aktuellste Version zwinkernd ) aufspielen und installieren
- unbedingt anderes Admin-PW wählen
- vielleicht auch andere Pfadbenennung wählen
3e) Kurse einspielen und überprüfen
3f) die kommende Zeit mit Argusaugen über den Logs und Dateien wachen!

Die Frage bleibt, wie die Manipulation der config.php erfolgt ist...

Grüßle
Jörg
Mittelwert:  -
Als Antwort auf Michael Hüllenhagen

Re: Chat gehackt......

von Michael Tesar -
Kann Moddle upgedatet werden, oder müssen alle alten Dateien gelöscht und die neue Version komplett neu installiert werden ?

Ich empfehle dringend bei einem gehackten System unbedingt eine komplette Neuinstallation, weil ja der Grund unbekannt ist, warum gehackt wurde. Bei einem Update kann es sein, dass noch "Reste" des Hackangriffs - Hintertüren - geöffnet bzw. bestehen bleiben und dann der Hacker wieder ins System eindringen kann. Du weißt ja nicht, was der alles zu seinen Gunsten verändert hat - außer der config.php. In den Verzeichnistiefen kann irgendwo nach wie vor für ihn relevantes (selbsterstelle Dateien,...) liegen -> Unbedingt alles löschen und neuinstallieren. Jörg hat ein ganz gutes und brauchbares How-To dazu gepostet.

lG Michael
Mittelwert:  -
Als Antwort auf Michael Tesar

Re: Chat gehackt......

von Maik Riecken -
Wobei man eines bei aller Paranoia immer sagen muss:

Angriffe auf Moodle erfolgen grundsätzlich scriptgesteuert, d.h. irgenwelche Bots auf irgendwelchen ungesicherten meist Windowskisten führen präparierte HTML-Anfragen auf verwundbare Moodleinstallationen durch und schleusen im Erfolgsfall ihren Code ein. Irgendeinem fällt das dann als erstem auf und der meldet es dann dem Moodlesicherheitsteam. Dieses Problem hat JEDE Webapplikation, nicht nur Moodle.

Gegen einen manuellen Angriff - d.h. der Angreifende meint speziell dich - bist du, wenn der Angreifer etwas kann, relativ machtlos. Ein guter Angriff ist ja deshalb gut, weil man ihn nicht sofort entdeckt. Davor schützen nur rotierende Fullbackups. Ich halte 5-6 Wochen vor.

Sprich:
Ich glaube nicht, dass der Angreifer wiederkommt. Es ist aber trotzdem aus den schon bereits genannten Gründen notwendig, neu zu installieren.

JEDE Webapplikation muss immer auf dem aktuellen Stand gehalten werden!

Gruß,

Maik
Mittelwert:  -
Als Antwort auf Maik Riecken

Re: Chat gehackt......

von Michael Hüllenhagen -

Werde Eure Ratschläge am WE beherzigen und Moodle auf die neuste Version updaten.
Wie der Angreifer ins System kommen und die Änderungen vornehmen konnte ist mir schleierhaft und sollte vielleicht mal bei all-inkl geklärt werden.

Nochmals Danke für Eure Hilfe.

Gruß Michael

Mittelwert:  -