teifke.de

TikiWiki QuickFix

(Im Original von Oliver Hertel, zu finden bei tikiwiki.org, freie Übersetzung von Sascha Teifke)

Wie man sein System gegen die aktuellen Angriffe absichert

Entfernen Sie die Datei “jhot.php”. JGraphPad ist danach deaktiviert bis wir eine korregierte Version bereitstellen. Sie können es bereits aus dem aktuellen CVS-Zweig (BRANCH-1-9 oder HEAD) herunterladen.
Editieren Sie die Datei “tiki-editpage.php”. Wenn die Zeile

chmod("$wiki_up/$picname", 0755); // seems necessary on some system (see move-uploaded_file doc on php.net

existiert, löschen Sie diese!

AKtivieren Sie .htaccess files. Tiki enthält diese bereits, Sie müssen diese umbenennen von “_htaccess” nach “.htaccess”. Überprüfen Sie zuerst, ob Ihr Webserver dies unterstützt!
Korregieren Sie die Berechtigungen der Dateien im Stammverzeichnis. Führen Sie dazu “fixperms.sh”. aus. Wir arbeiten an einer Verbesserung dieses Scripts.

Diese Maßnahmen können kurzfristig ausgeführt werden. Wenn Sie mehr möchten:

chrooten Sie Ihren Apache. Die Attacke verwendet perl, wget, curl, …. Wenn Apache mit chroot ausgeführt wird und diese Tools nicht zur Verfügung stehen scheitern diese Angriffe.
Verbieten Sie php “exec” oder “passthru” zu verwenden. Mit diesen Kommandos können Attacken versuchen Programme zu starten, die sie zuvor auf den Server geladen haben. Vielleicht verwenden Sie hardened php um ihr System noch weiter abzusichern.

Wir können nicht garantieren dass dies ausreicht, aber es ist ein Anfang.

Wie Sie feststellen können, dass Ihr System bereits kompromittiert ist

Eine andere Anwendung ist gestartet und belegt Port 443. Wenn Sie Apache neu starten wird er sich über den bereits belegten Port beschweren. Überprüfen Sie mit dem Tool “ps” welche Programme mit der Userid von apache gestartet sind und beenden Sie diese.
Es könnte sein, dass eine Datei namens “img/wiki/tiki-setup.php” vorhanden ist. Dies ist keine Tiki Datei! Wenn Sie “tmp.php”, “tiki-lang.php”, “mod_wiki.php” oder “lang/lang.php” finden - das sind ebenfalls hacks - löschen Sie diese!

Anhang