[quote]black_nation wrote:
di sini server saya pake linux
cara pertama adalah install ulang
karena kita gk tau apa ajah yg di backdoor,bisa rootkit,daemon,bahkan lkm
(kl yg ini kayaknya cm heker kelas doang deh yg bisa :D)
ataupun php shell
pas reinstall server ada tahap pemilihan menu tekan Alt+F2
untuk mendapatkan shell,
mmount halaman HDD misal /dev/sda1 (SATA) Atau /dev/hda(IDE) ke /tmp/hda1.
contoh2 command2 linux:
#mkdir /tmp/hda1 (Membuat direktori)
#mount /dev/sda /tmpt/hda1 (Mount Direktori)
#cd /tmp/hda1 (Masuk ke dalam Direktori)
#mkdir .old (membuat direktory bernama .old)
#chmod 700 .old (Membuat permision atau hak akses file tersebuat)
#mv *.old (Memindahkan semua file ke dalam direktory .old)
#ls -al (Pastikan semua file yang ada di dalam folder .old)
#cd .. (Keluar)
#unmount /tmp/hda1 (Unmount Direktori)
nah,kl didalam server punya partisi backup,misal /dev/sdb1 sebaiknya melakukan
isolasi semua file file yang ada dalam sebuah direktori misal .old.
yg penting jangan sampai menghapus atau memformat hdd anda
kl udh reinstall sekarang coba kita amankan
cari file file setuid-root
(file ini kemungkinan besar merupakan backdoor yang
memungkinkan si hacker memperoleh root kembali)
#cd /root
#find ./old -type f -uid 0 -perm /u+s > setuid.txt
#find ./old -typr f -uid 0 -perm /g+s > setgid.txt
nah,pas udh dapet setuid.txt kita bisa menghapus atau mematikan
setuid bit pada file file yang terdaftar di setuid.txt tersebut
contoh:
#rm /.old/home/t10000/home/root
atau
#chmod 0 /.old/home/t10000/home/root
INGET!!!
cukup file setuid-root di dalam data user misal : /home/username yang perlu
kita waspadai untuk tidak tetap menjadi setuid-root saat kita pasang di luar .old nanti.
file .old/bin old/sbin dsb tidak akan kita gunakan karena kita sudah menginstall ulang OS.
lah kl ada nama yang aneh maka kita bisa melihat pola sang hacker yang memilih
file file yang merupakan file setuid-root
balikin data user
I. account unix (etc/passwd,etc/shadow,etc/group,etc/gshadow)
II. data user (home/username)
II. crontab user (/var/spoll/cron/crontabs/username)
yang begituan yg bakal kita restore
nah untuk etc/passwd;
#cd /.old/etc
#perl -lne '/^([^:]+):[^:]+(\d+)/; print if $2>0 and -d "/.old/home/$1"' passwd; #>>/etc/passwd
untuk etc/shadow
# perl -lne '/^([^:]+):[^:]+(\d+)/; print if $2>0 and -d "/.old/home/$1"' passwd; #>>/etc/shadow
untuk etc/group
# perl -lne '/^([^:]+):[^:]+(\d+)/; print if $2>0 and -d "/.old/home/$1"' passwd; #>>/etc/group
untuk etc/gshadow
# perl -lne '/^([^:]+):[^:]+(\d+)/; print if $2>0 and -d "/.old/home/$1"' passwd; #>>/etc/gshadow
periksa lagi pake perintah "ls -l /.old/home/user" apakah semua file user uid
dan gid-nya telah terpetakan dengan benar ke /etc/passwd dan /etc/group
kl masih ada yg numerik berarti blom ada yg di mapping
buat restore data user cukup pindah kan selayaknya copy paste saja dari /.old/home/* ke /home/.
nah,kl buat restore crontab pindahkan file crontab milik user yang ada di ./old/var/spool/cron/crontabs/
langkah selanjutny coba reset passwd
#( cd /home: for u in *; do echo "$u: `makepasswd`"; done)> passwords.txt
#chpasswd -m <passwd.txt
maksud dari command diatas buat reset semua password user yang pake home di /home/username trus nge reset,atau pake program makepasswd dan chpasswd
atau ada applikasinya mungkin cpanel gt,juga bisa
memiliki fasilitas reset password massal dan bisa mengirimkan email dan lain lain silahkan gunakan di sini..
yang kayak gini bukan cara yg 100% perfect buat nangkal atau
benerin server yg abis di hack
tergantung hacker ny ajah kl doi lebih hebat buat covering track
simpleny sih gini ajah,nanti kita coba lebih lanjut lagi buat
tracing log haiker yg habis masuk ke serper kita
makasih[/quote]
mungkin kalo vps dengan akses beberapa web gada masalah, cman jika server web base maka ga mungkin akan melakukan insta ulang server ? betapa ribetnya backup hingga ratusan web ?
jika dalam hal ini install ulang tidak memungkinkan, kita bisa menangkal nya dengan menggunakan metode mod_sec jika suport dengan cpanel.net
atau bisa juga melakukan pencarian pada "target tersebut" dan menambahkan id kedalam mod_sec ato mengunci folder atau bisa juga dilakukan fixing pada web tersebut (update core, tergantung cms yang digunakan).
semoga membantu :jempol1:
nice thread :jempol2:
