Re: consulta

[Javier Barroso <javibarroso@gmail.com>]

2010/3/23 Alberto A. Molina M. <dickeroso@gmail.com>:
> Estimados, me han hackeado un servidor de páginas web y no se por donde
> empezar a revisar cuales podrían ser los motivos o las fallas. Me pueden
> indicar algunos logs que me proporcionen información importante u alguna
> otra ayuda que me sirva a saber por donde podrían haber entrado.

Por estas cosas es importante no tener el servidor corriendo como root...
Hay muchas opciones por las que te podrían haber entrado en el servidor:
 - ¿Tenías acceso ssh con usuario/password "fáciles"?
 - ¿Alguna aplicación web que tuviera alguna vulnerabilidad (como
sql-injection quizás, o que permita subir ficheros que luego se puedan
ejecutar por algún fallo del programa)?

Mira en los logs y si todo lo tenías con paquetes debian, instala
debsums y que te digan los ficheros que se han modificado

Nunca está de más instalar algun ids local como tripwire para
mantenerse al tanto de los cambios que se hacen en el servidor

Un saludo y ¡suerte!