Em đã biết nếu kẻ tấn công để lại IP thực của hắn thì khả năng tìm ra hắn sẽ là 100%. Nhưng em không hiểu rõ cách thức làm thế nào để từ IP đó có thể lấy được thông tin của kẻ tấn công. Em đã mang IP qua một số trang lấy thông tin như http://domaintools.com nhưng chỉ lấy được cái địa điểm VD như Hà Nội hay TP HCM.
Forum của em vừa bị hack. Thằng hack nó up lên mấy con shell. Em đã xem log thì phát hiện một số IP khả nghi. Vì Forum của em là VBB Null lên không dám nhờ cơ quan chức năng giải quyết ( Forum em bị nó Drop mất 2 table, lại còn viết lên Index những lời sằng bậy nữa). Bây giờ em đang muốn đưa nó ra ánh sáng. Mong mọi người giúp cho em với. 

Jino_Hoang wrote:

Em đã biết nếu kẻ tấn công để lại IP thực của hắn thì khả năng tìm ra hắn sẽ là 100%. Nhưng em không hiểu rõ cách thức làm thế nào để từ IP đó có thể lấy được thông tin của kẻ tấn công. Em đã mang IP qua một số trang lấy thông tin như http://domaintools.com nhưng chỉ lấy được cái địa điểm VD như Hà Nội hay TP HCM.
Forum của em vừa bị hack. Thằng hack nó up lên mấy con shell. Em đã xem log thì phát hiện một số IP khả nghi. Vì Forum của em là VBB Null lên không dám nhờ cơ quan chức năng giải quyết ( Forum em bị nó Drop mất 2 table, lại còn viết lên Index những lời sằng bậy nữa). Bây giờ em đang muốn đưa nó ra ánh sáng. Mong mọi người giúp cho em với. 

Thông tin ở phần màu đỏ chỉ là thông tin về nhà cung cấp chớ chẳng phải thông tin của kẻ thâm nhập. Nếu không có sự giúp đỡ của nhà cung cấp thì vô phương. Không có cách gì tìm ra đâu. 

a- Kiểm tra xem cái đia chỉ WAN IP ấy có phải là IP của một Proxy server nào đó không? Nếu "yes" thì gần như là bótay.com.

 

PXMMRF wrote:

a- Kiểm tra xem cái đia chỉ WAN IP ấy có phải là IP của một Proxy server nào đó không? Nếu "yes" thì gần như là bótay.com.

 

Hi anh, gần như là có nghĩa là vẫn có cơ hội hoăc hi vọng. Vậy cơ hội và hi vọng nằm ở đâu tiếp theo để xác định được thế anh ?

Hiện tại bên em đang bị dò pass email. Truy ra ip trên log thì chỉ tới những proxy ở nước ngoài. Tuy nhiên em dự đoán là chỉ có những người "quen" mới biết những địa chỉ email đó. Thân  

Em đã biết nếu kẻ tấn công để lại IP thực của hắn thì khả năng tìm ra hắn sẽ là 100%. Nhưng em không hiểu rõ cách thức làm thế nào để từ IP đó có thể lấy được thông tin của kẻ tấn công. Em đã mang IP qua một số trang lấy thông tin như http://domaintools.com nhưng chỉ lấy được cái địa điểm VD như Hà Nội hay TP HCM.
Forum của em vừa bị hack. Thằng hack nó up lên mấy con shell. Em đã xem log thì phát hiện một số IP khả nghi. Vì Forum của em là VBB Null lên không dám nhờ cơ quan chức năng giải quyết ( Forum em bị nó Drop mất 2 table, lại còn viết lên Index những lời sằng bậy nữa). Bây giờ em đang muốn đưa nó ra ánh sáng. Mong mọi người giúp cho em với. 

Hi chú và các anh

Thật không biết là sự trùng hợp hay sao nữa nhưng từ khi Topic này được mở em nhận phải 1 case tương tự và giống đến từng chi tiết mà chú Conmale & bác PXM đưa ra.

Server đang chạy của 1 nhà cung cấp các dịch vụ làm Web, hầu như các site trên này đều được build từ source Joomla. Sáng nay em nhận được tin báo server bị ip lạ connect vào và thực thi 1 số câu lệnh nguy hiểm (rm, shutdown, service [x] stop).

IP cuối cùng login vào hệ thống thông qua quyền root và location ở USA. Điều đáng nói là attacker đã xoá hết các câu lệnh của him trong .bash_history và không để lại dấu vết gì từ địa chỉ IP này. Em suy xét các mối nguy hại khi xảy ra chuyện này ở 2 khía cạnh sau

+ Nếu attacker login vào root với user + pass có sẵn thì ở đâu attacker có 2 thứ này ? Nếu bên khách hàng em làm lộ pass thì đó là điều không bàn cãi, nhưng người chủ họ đảm bảo password không hề bị lội, vì lần nào ssh vào cũng đều ngồi ở nhà. Các nhân viên của họ hầu như làm việc trên máy tính không thể cài đặt bất cứ 1 tool nào phục vụ cho việc sniffer

+ Nếu attacker là 1 tay chuyên nghiệp, lợi dụng 1 vài lỗ hổng trên ứng dụng Joomla để getroot thì quả thực quá với sức tưởng tự. Vì em hầu hết đã apply các rules security nhằm hạn chế những lỗ hổng thường gặp nhất như XSS - SQL inject - Local v.v.... Và thật sự nếu attacker là người có thể get root server dễ dàng như vậy thì chắc chắn cũng chỉ vào xem thôi chứ không cố ý thực hiện các câu lệnh tương tác nguy hại

Địa chỉ của Attacker login nằm ở 1 Mỹ và đây là 1 proxy server. Em không giỏi để có thể xâm nhập vào máy chủ này và xem các access log của nó.

Mục đích của em là muốn thấy được nó đã vào bằng cách nào, và nó ở đây là ai !

Rất mong được các chú và mọi người góp ý

Thân 

Cám ơn Chú Diêu và anh Bi. Vụ lần này do bị lộ pass (MITM) qua sơ hở của chủ Server
Tuy nhiên em sẽ xây dựng 1 hệ thống log hoàn chỉnh bằng syslog để cảnh báo tốt hơn

Cám ơn mọi người.