Stand: 30.12.2008 04:56 aktuelle Version auf phpBB.de

Apache At Work Communities Community Building Informationen und Hinweise Installation/Konfiguration/Update MySQL PHP phpBB-Optimierungen phpBB3 Rechtliches Server & Technik Snippets Templates und Mods

Knowledge Base Offline -> At Work -> Mein Forum wurde gecrackt - was nun?

Mein Forum wurde gecrackt - was nun?
Autor: D@ve
Stand: 30.12.2008 04:56
Neuste Version unter: http://www.phpbb.de/doku/kb/gehackt

### Mein Forum wurde gecrackt - was nun?

##### Eine kurze Beschreibung über die richtige Vorgehensweise bei einem Hacker-Angriff

Wenn Euer Forum gecrackt wurde, ist es wichtig, dass Ihr erstmal einige "lebensrettenden Sofortmaßnahmen" ergreift um schlimmeres zu verhinden:
1. Backup machen
Falls der Hacker noch mehr Schaden verursacht, ist es ratsam wenn man ein Backup hat, deswegen solltet Ihr erstmal die vorhandenen Daten sichern. Dazu gehört ein vollständiger Dump der DB (Knowledge-Link), sowie eine offline-Kopie aller vorhandenen Dateien des Forums. Selbst wenn der Cracker alles zerstört hat, hilft Euch das später, nachvollziehen zu können, auf welche Weise der Cracker in Euer Forum eingedrungen ist.
2. Das Board offline nehmen
Um weiteren Schaden zu verhindern solltet Ihr jetzt das gesamte Board offline nehmen. Es nützt nichts, wenn Ihr den angerichteten Schaden repariert habt (oder gerade dabei seid) und der Cracker sich über die gleiche Sicherheitslücke erneut Zugriff verschafft. Am besten macht Ihr das, indem Ihr alle Dateien des Forums sowie alle Tabellen der Datenbank komplett löscht.
3. ALLE administrativen Passwörter ändern
Und zwar wirklich alle. Noch ist nicht bekannt wie der Cracker sich Eingang verschafft hat und was er alles "weiß". Auf jedenFall geändert werden sollten:

- Datenbank-Kennwort
- g.g.F. Passwort für phpMyAdmin
- FTP-Kennwort
- alle Admin-Kennwörter

Jetzt seid Ihr erstmal grundsätzlich im grünen Bereich und rein theoretisch kann eigentlich kein weiterer Schaden angerichtet werden. Jetzt geht es an die eigentlice Arbeit:
4. die Sicherheitslücke finden, durch die der Cracker reingekommen ist
Wenn Ihr Euer Board nicht auf dem aktuellen Stand habt stellt sich die Sache als relativ einfach dar. Die Sicherheitslücken älterer phpBB-Versionen sind im Internet hinlänglich bekannt und an vielen Stellen veröffentlicht, so dass über Google problemlos diverse Crack-Anleitungen gefunden werden können (zumindestens wenn man weiß wo man suchen muss). Aber auch wenn Euer Board auf dem neuesten Stand ist, heißt das noch lange nicht, dass Ihr ein Sicherheitsleck in der phpBB-Software gefunden habt. Hier einige mögliche Ursachen:

- Nicht aktuelle Board-Software
- Unsichere Passwörter, die der Cracker einfach durch Probieren rausbekommen hat. Das gilt für alle Passwörter, also auch FTP-, MySQL, oder Admin-Kennwörter.
- Mitarbeiter die einem nicht wohlgesonnen sind (auch ehemalige Mitarbeiter bedenken). Das ist zwar schade, aber nicht selten die Ursache
- schlecht, oder unsauber programmierte Hacks
- Cracking über "normale" Boardfunktionen (zB. der Upload von PHP-Attachments, oder über HTML-Code in den Postings)
- Probleme beim Hoster zB durch fehlende Updates der Server-Software
- Ein Sicherheitsloch in phpBB

Die letzten beiden Punkte sind allerdings relativ unwahrscheinlich, die Erfahrung hat gezeigt, dass der Fehler meistens beim Board-Admin bzw. Webmaster zu suchen ist.
Was auch bei der Analyse des Sicherheitsloches helfen kann, ist eine ehrliche Einschätzung wie "wichtig" das eigene Forum ist. Niemand wird großen Aufwand betreiben, um ein neu erstelltes Forum mit 80 Beiträgen zu cracken. Sollte das bei Euch der Fall sein, lässt das dann auf Scriptkiddies und eine eher einfache Herangehensweise schließen. Echte Hacker suchen meistens die Herausforderung größerer und bekannterer Foren, haben allerdings auch oft die angenehme Eigenheit, dass sie nie wirklich etwas zerstören, sondern einfach nur Ihren Namenszug irgendwo hinterlassen.
5. Board komplett neu installieren
Als nächstes installiert Ihr das Forum von grundauf neu. Das erneute Einfügen von Mods bleibt Euch hier leider nicht erspart. Das Risiko, dass der Hacker sich irgendwo im Quelltext eine Hintertür erstellt hat ist zu groß als dass man die alten Dateien weiterverwenden könnte. Diese Hintertür muss nicht zwangsweise etwas mit dem eigentlichen Sicherheitsloch zu tun haben, so könnte der Hacker einfach eine der Dateien so modifiziert haben, dass er später nochmals auf einfache Weise eindringen kann (das können teilweise, wenige veränderte Zeichen sein).
Gleiches gilt natürlich auch für die Datenbank. Bevor Ihr diese Zurücksichert solltet Ihr diese akribisch auf Hintertüren untersuchen:

- Hat sich der Cracker vielleicht ein neues Profil mit Admin- oder zumindestens Mod-Rechten angelegt?
- Hat er die Passwörter von bestehenden Mods oder Admins geändert?
- Hat er sich zugriff auf interne Mitarbeiter-Foren verschafft?
- Hat er sich in eine Gruppe eingetragen, in die er nicht gehört?
  etc...

6. Hoffen, dass Ihr nichts übersehen habt...
Grundsätzlich gilt hier immer: Holzauge sei wachsam!! Man sollte in der Zeit nach dem Neustart ruhig etwas paranoider sein und alles gut im Auge behalten.
7. Gegebenenfalls Anzeige erstatten
Habt Ihr genug Daten (zB. E-Mail-Adresse oder IPs mit genauer Uhrzeit), könnt Ihr ruhig Anzeige gegen unbekannt erstatten. Das kostet Euch nichts und könnt Ihr ohne Bedenken machen. Das tatsächlich was unternommen wird, ist zwar selten, aber je mehr Webmaster gegen sowas Anzeige erstatten, desto eher wird auchmal so jemand geschnappt. Seid dort allerdings ehrlich und gebt nur Daten an, von denen Ihr Euch sicher seid, dass sie von dem Eindringlich stammen (oder teilt Eure Unsicherheit dem Beamten mit).
Weiterführende Links:
Wie mache ich mein Board sicher
MySQL Backup
Verschlüsselung der Passwörter bei phpBB

Knowledge Base Offline -> At Work -> Mein Forum wurde gecrackt - was nun?

| phpBB.de Knowledge Base (Offline-Version) ©2005 Sascha Carlin und das phpBB.de-Team - Impressum Das Kopieren von Artikeln (auch auszugsweise) ist nur nach ausdrücklicher Genehmigung erlaubt! phpBB.de: Infos | Forum | Downloads | Dokumentation |