ウェブページ改竄

FreeBSD5.3でApache2.2，最新のOpensslで管理しているウェブサーバがあり，そのサーバ上でウェブサーバを構築していたのですが，この度，ウェブページの改竄の被害に合いました．
どういった経路で改竄されたかを調べるために/var/log/ にあるログを見たのですが，思い当たるようなログが残っていませんでした．

考えられる方法としては，
１．ウェブ編集の初心者向けにftpのポートを空けていたので，そちらのパスワードをクラックされた（→ftpdに関するログ）
２．sshが破られてrootのパスワードが盗まれた
等があると思いますが，ftpdのログや，lastlogin，およびhistoryの情報，/var/log/messages の情報等にそれらに該当するようなアクセス等は残っていませんでした．
クラック用のツールとして rootkit 等があるようですが，それらで関連するログも全て削除されているのか，どういった経路で改竄が行われたかを調べるための方法が分かりません．

サーバ上にはXoopsのページがあり，そちらからのアクセスも怪しいかなとは思ったのですが，Apacheに関するアクセスログやエラーログからもこれといった情報は得られませんでした．


対策としては，パケットフィルタリングを行いアクセスを制限することにし，ssh以外のアクセスを排除することにしたので，大体の不正アクセスは防げると思いますが，今後こういった現象を防ぐための勉強として，改竄の手口，およびこういった場合の進入手口に心当たりがあれば，ご教授よろしくお願いします．

No.1 ベストアンサー 回答者： Wr5 回答日時： 2007/08/01 01:03

FreeBSDは知りませんが…

>２．sshが破られてrootのパスワードが盗まれた
sshでパスワード認証。しかもrootログイン可。
という設定であれば、こちらが怪しいでしょう。

root権限があればログの改竄だって思いのままです。
痕跡消していくくらいのことはするでしょう。
もっとも、そういう処理をした上でバックドア作っていくスクリプトくらいありそうですが。
chkrootkitで仕込まれていないか確認した方がよろしいかと。
psコマンドやらnetstatコマンドやらでバッグドアのプロセスを隠蔽している可能性もありますし。

ご存じだとは思いますが、ftpは生パスワードがネットワーク上を流れます。
パケット盗聴されていたら即アウトです。
サーバソフトとクライアントが対応しているならばSSL通信で保護した方がよいでしょう。
sshのscp等の方法もありますが。

sshは公開鍵認証にしておいた方がいいです。
(接続可能なユーザーを制限するというのもありかと)

この回答へのお礼

chkrootkit というのが存在するのですね．sshの方が破られた可能性が高いので，一度試してみます．
ありがとうございました．

お礼日時：2007/08/01 07:34

No.2 回答者： angband 回答日時： 2007/08/01 03:15

ftpのパスワードが漏れた程度ではログを消すことはできないはずです。

またFreeBSD5.3はかなり古いですがwebとssh以外はサービスを提供して
なかったんですか？pop3とかimap、dnsなど・・色々な可能性があり
すぎて一言では絞り込む方法は説明しきれませんが・・・

5.3でパッチレベル0だとすると二年前のzlibの問題とかも残っている
んじゃないでしょうか。その場合低いユーザー権限でもコマンドが
実行できればroot権限を奪取された可能性はあると思います。

●なんらかの痕跡を探す
ある程度できるクラッカーなら痕跡を残さないと思いますが、
/devの下で file * とかしてみてテキストファイルとかあれば
アウトですよね（昔よくあったrootkit)

あとバッファオーバーフローの場合はログなんか残るはずないです。
（プロセスは異常終了しているわけですから）もしかしたら/とか
apacheのホームにcoreが残ってないか調べてください。まぬけな
クラッカーなら残っているかもしれません。

またFreeBSD5.3のCDと比べて、ps,netstat,lsなどが置き換え
られてないか調べるのも情報を得られる可能性があると思います。

●今後
FreeBSD5.3をcvsupで最新版までパッチレベルを上げてください。
サーバプロセス(bindとかapacheとか)も同様です。
アプリケーション(xoopsなど)も同じです。
まあ、僕なら念のため再インストールしますが・・・・

この回答へのお礼

pop等は利用していなかったので，問題になるのはwebとsshあたりになると思います．
portaudit&portupgradeにて，セキュリティに関するパッチはいろいろ当てていたので，zlibの問題は大丈夫かと思います．
apacheのログあたりは参考になりそうですね．xoopsも怪しい気がしますのでそこら辺も調べてみます．
なんにせよ，再インストールが確実ですね＾＾．

いろいろご教授ありがとうございます．

お礼日時：2007/08/01 07:38