กลุ้มใจ Server โดน Hack

Hardwares & Others
1

ผมทำงาน บ. นึงเป็น Admin จำเป็น มา 3 ปีแล้ว(งานตำแหน่งผมจริงๆ เขียนโปรแกรม+ช่างคอมพิวเตอร์) คือ ทุกอย่างราบรื่นดี มาปีนี้(โดนเล่นซะต้นปีเลย) หน้าเว็บ บ.โดนเปลี่ยน และ ผมเข้าไปตรวจมีคน hack กระทำการวันที่ 30/12/50

ความเป็นมาของ Server นี้

  • Serverลง Windows 2000 server IIS5 เปิดใช้เฉพาะ FTP เพราะ หัวหน้าต้องการใช้
  • Server หลังจากติดตั้งก็ไม่ได้ Config อะไรเพิ่ม
  • Server ลงอะปาเช 2 เป็น Web Server (หัวหน้าไม่ต้องการใช้ IIS)
  • Admin หลักคือผม(จำเป็น) และ มีหัวหน้าหลายๆแผนกเป็นadminด้วย ผมไม่สามารถขัดคำสั่งได้
  • หลักๆผมดูแลทั้ง Server แต่ก็จะมีหลายๆ แผนกเอาข้อมูลมาลงได้เองเพื่อทำเว็บ ซึ่งหัวหน้าแผนก(เป็นAdminด้วย)นั้นๆมอบหมายให้ใครทำอีกที
  • ถ้าเครื่อง Hang ผมค่อย Reset หรือ แผนกอื่นๆต้องการใช้อะไร ใน Serverเพิ่มผมจะคอยลงให้…
  • ก็เป็นเช่นนี้ และราบรื่นเรื่อยมา ตลอด 3 ปี

สิ่งที่เกิดขึ้น

  • หน้าเว็บแผนกผมโดนเปลี่ยน และ เว็บแผนกอื่นๆเข้าไม่ได้ เนื่องจาก Web server ไม่ทำงาน
  • ผมเห็นความผิดปกติ คือ มีคนลง Appserv ภาษาไทย(ไม่เคยลงมาก่อน)บน Server ที่ผมดูแล จนทำให้ root วิ่งไปที่ c:\APPSERV\WWW ซิ่งมี INDEX.HTML โชว์หน้าบอกว่า HACK BY XXXX มาจากสเปน…
    เข้าใจว่าเจ้า APPSERV เข้าไปเปลี่ยน Config Server

สงสัย

  • มีใครที่ทำงานแกล้ง เพราะ ตอนนี้ผมโดนตำหนิมากๆในเรื่องนี้
  • ถ้ามีใครลง APPSERV แบบคิดไม่ถึง ทำให้ระบบล่ม(แล้วชิ่ง) เป็นไปได้ไหมว่าเจ้า APPSERV ไปเปิดช่องโหว่ให้ Hacker หรือ มันมีช่องโหว่มาก่อนหน้านี้แล้ว จนทำให้เข้ามาลง APPSERV ทับได้
  • การลง Software ใดๆบนเครื่อง Server ในลักษณะนี้กระทำได้อย่างไร? ต้องเป็นคนในเท่านั้น หรือ คนนอกสามารถเข้ามาลงได้ คือ กำลังสงสัยคนทำในหรือนอกองค์กร…

คาใจ

  • Server ควรเปิดใช้ FTP หรือไม่ เพราะ อะไร หัวหน้าดื้อมาก เค้าต้องการใช้ท่าเดียว…
  • ผมเป็นคนดูแลหลัก ก็กลายเป็นว่าผมรับกรรมจากที่คนอื่นทำผิดพลาดไปเต็มๆ ทั้งๆที่มี Admin หลายคน เพื่อป้องกันความผิดพลาดที่เกิดขึ้นบน Server ผมควรจะพูดกับหัวหน้า(ด้าน)อย่างไรดี

Solution

  • อยากทราบแนวทางป้องกันและแก้ไข
  • ทำอย่างไรดีในเมื่อผมเป็น Admin หลัก แต่ดูเหมือนเป็นแค่ถังขยะรองรับของเสีย ผมมีหน้าที่ทำมันให่สะอาดเท่านั้น…เหนื่อยใจ

ถ้าใครมีแนวความคิดต่างๆก็เชิญครับอาจจะนอกเหนือในสิ่งที่ผมกล่าวไปข้างต้นก็ได้ หลังจากเกิดเรื่องขึ้นผมหมดกำลังใจไงก็ไม่รู้ ใครก็ว่าผมไม่เอาไหน…รู้สึกประมาณนั้น ซึ่งเมื่อก่อนชมว่าผมทำ Server ทำเว็บให้ใช้งานได้…ผมเป็นแค่ Adminจำเป็น แต่สิ่งที่เกิดขึ้น และผมโดนตำหนิเหมือนผมเป็น Admin ที่เชี่ยวชาญ แต่ทำงานเกิดความผิดพลาดขึ้น…ประมาณนั้น…เค้าลืมอะไรไปหรือป่าวว่า เค้าให้ผมมาช่วยดู ผมก็ช่วย ทำไมไม่จ้าง Admin มืออาชีพมาเลยละ ขอไปอบรมก็ไม่ให้ไป…ขอบ่นซะเลย

2

ตอบเป็นข้อๆ นะครับ

แนวทาง
1.เปลี่ยนพาส
2.จำกัดสิทธิ์การเข้าถึงของยูส (หัวหน้าแผนกแต่ละคน) ว่าให้ทำได้แค่ระดับไหน
3.ถ้าเป็นไปได้ควรใช้ IIS แต่ถ้ามีความจำเป็นต้องใช้ Apache จริงๆ ก็ควรคอนฟิคให้ดีๆ ครับ

ที่เหลือรอผู้เชี่ยวชาญเซิร์ฟเวอร์ Windows มาตอบนะครับ

3

สงสัย

  • มีใครที่ทำงานแกล้ง เพราะ ตอนนี้ผมโดนตำหนิมากๆในเรื่องนี้
    เป็นไปได้ครับ
  • ถ้ามีใครลง APPSERV แบบคิดไม่ถึง ทำให้ระบบล่ม(แล้วชิ่ง) เป็นไปได้ไหมว่าเจ้า APPSERV ไปเปิดช่องโหว่ให้ Hacker หรือ มันมีช่องโหว่มาก่อนหน้านี้แล้ว จนทำให้เข้ามาลง APPSERV ทับได้
    เป็นไปได้ครับ
  • การลง Software ใดๆบนเครื่อง Server ในลักษณะนี้กระทำได้อย่างไร? ต้องเป็นคนในเท่านั้น หรือ คนนอกสามารถเข้ามาลงได้ คือ กำลังสงสัยคนทำในหรือนอกองค์กร…
    ลง software ระดับ service อย่างนี้ ต้องเป็น user ระดับเดียวกับ administrator เท่านั้นครับ

คาใจ

  • Server ควรเปิดใช้ FTP หรือไม่ เพราะ อะไร หัวหน้าดื้อมาก เค้าต้องการใช้ท่าเดียว…
    เปิดไปเถอะครับ ไม่ได้มีผลอะไรมากมาย (จริงๆ นะ) เพราะสุดท้ายก็ต้องเอาข้อมูลขึ้นไปบนเซิฟเวอร์อยู่ดี
  • ผมเป็นคนดูแลหลัก ก็กลายเป็นว่าผมรับกรรมจากที่คนอื่นทำผิดพลาดไปเต็มๆ ทั้งๆที่มี Admin หลายคน เพื่อป้องกันความผิดพลาดที่เกิดขึ้นบน Server ผมควรจะพูดกับหัวหน้า(ด้าน)อย่างไรดี
    บอกไปตรงๆ ครับ ว่าเราไม่ใช่คนดูแลเพียงคนเดียว ถึงแม้จะเป็นคนหลักก็ตาม คนอื่นก็มีสิทธิ์เข้าถึงระบบได้เท่าๆ กัน คนอื่นก็มีสิทธิ์ได้เหมือนกันครับ

Solution

  • อยากทราบแนวทางป้องกันและแก้ไข
    ข้างบน ^^ เอาเป็นว่า หลายๆ อย่างมันบอกยากอะครับ
    แล้วก็ apache มันจำกัดสิทธิ์อะไรได้ยากกว่า IIS น่ะ
  • ทำอย่างไรดีในเมื่อผมเป็น Admin หลัก แต่ดูเหมือนเป็นแค่ถังขยะรองรับของเสีย ผมมีหน้าที่ทำมันให่สะอาดเท่านั้น…เหนื่อยใจ
    นึกซะว่า server admin คือภารโรงครับ มีหน้าที่เก็บกวาด กะตามล้างตามเช็ดให้เรียบร้อย แล้วก็จัดอะไรให้เข้าที่เข้าทาง ที่ทำได้คือ ปลง… ละมั้งครับ
4

IIS5 มีแต่รูโหว่ครับ
เปลี่ยนเป็น 6 เหอะครับลฃ

5

ผมว่า น่าจะรั่วจาก window นี่ล่ะครับ ลอง update patch ดูครับ (น่าจะลิขสิทธ์นะ คงไม่มีปัญหาเรื่องการ update)

6

ลองอัพผ่านเว็บดูครับ อาจจะช่วยเรื่องช่วงโหว่ได้นะครับ

7

เท่าที่อ่านดู มันบกพร่องมาตั้งแต่ Policy แล้วล่ะครับ ต่อให้ config os,server ดีขนาดไหน แต่ policy มีหลายคนเข้าถึง server แบบ administrator ได้แบบนี้ คงยาก
ถ้า user สิทธิ์ เท่า Administrator น่ากลัวจัง

เรื่อง user เนี่ย ลองหา software เก็บ log การทำงานของ server มาใช้ดู แล้ว หัวหน้า แผนกต่างๆ กำหนด user ให้เขาใหม่ กำหนดสิทธิ์เป็น admin ก้ได้ เวลาทำอะไร เอา log มายันกันอีกที ไม่งั้นคุณก็ต้องรับกรรมไปแบบนี้แหละ ซวย

8

:smash:

9

สำหรับหน้าเวบที่ถูกเปลี่ยน ให้ตรวจสอบดู Log File ครับ
จะช่วยได้มากทีเดียวในกรณีไม่ได้ถูกแก้ไข/ลบทิ้ง

ทางอื่นที่ควรจะทำอยู่แล้วก็ update patch

10

หน้าเห็นใจนะครับคนอื่นเข้า Server ได้ในระดับ administrator ได้หลายคนแต่กลับโดนตำหนิเพียงคนเดียว ทางที่ดีต้องกำหนดให้แต่ละ User ต้องมีสิทธิ์ไม่เท่ากับ administrator ครับ

11

กำลังอยากได้กำลังใจ พอเกิดปัญหาทุกคนบอกไม่ได้ทำอะไรกับ Serverเลย… ตอนนี้เหมือนทำงานคนเดียว แผนก it ที่นี่ก็มีพอเข้าไปคุยด้วยเค้าเหมือนกับว่า"เรื่องของมะรึง กูรูไม่เกี่ยว ถาม 10 คำ ตอบ คำเดียว…" ถ้าผมจัดการอะไรๆใหม่ แล้วหัวหน้าหลายๆแผนกไม่ ok เดี๋ยวบอกให้จ้าง Admin หรือโอนให้ แผนก it ดูไปเลย

แรกๆสนุกดี หลังๆมานี่เรื่องจุกจิกมากมาย แต่ละคนจะเอาไอ้นั่นไอ้นี่บน Server ตายๆๆ

คนทำงานเกี่ยวกับ Hosting นี่สุดยอดเลย เข้าใจเลย ต้องเก่งและต้องมีหัวใจที่แกร่งด้วย…

ขอขอบคุณทุกความคิดเห็น

12

เห็นด้วยครับผมยังใหม่ในวงการนี้เจออะไรนิดอะไรหน่อยผมก็ท้อแล้ว ช่วงนี้ปัญหาเยอะเหลือเกิน
เซงจิต

13

ช่วยเป็นกำลังใจให้ครับผม ลองใช้วิธีการกำหนด สิทธิของ user ดูครับ
อย่างไรเสีย admin เป็นเราคนเดียวก็ดีที่สุดครับ แล้วเขาอยากได้อะไรค่อย request เข้ามา

หัวหน้าก็คนเหมือนๆ เราครับ ลองคุยและค่อยๆ อธิบาย ที่มาที่ไปแบบง่ายๆ(ศัพท์ชาวบ้าน) ให้เขาฟัง ผมว่าน่าจะเป็นการดีครับ เรื่องทุกเรื่องคุยกันได้นะผมว่า…

14

ข้อ 1 - Serverลง Windows 2000 server
[color=red]ตัวนี้มีแต่รูเต็มไปหมด

15

อ่าน ๆ มาดูเหมือน จขกท จะค่อนข้างกังวลเรื่องที่มีหัวหน้าแผนกอื่นมาร่วมเป็น admin ด้วย
ซึ่งแบบนี้มันจะมั่วมาก ๆ ใครทำอะไรไว้มั่งก็ไม่รู้ พอเสียมาโทษเรา
แบบนี้น่าเปลี่ยนไปลงระบบ vps แยกให้แต่ละหัวหน้าไปเลย ไหน ๆ ก็ต้องทำระบบไหม่อยู่แล้ว ไม่งั้นคุณก็ต้องกลับมาเจอปัญหาเดิม ๆ อีก

16

ทำสมุดบันทึกรายงานหน้าเครื่องเลยครับ
ว่าใคร ทำอะไรมั่ง ช่วงไหน เวลาไหน

17

ถ้าเป็นพวก Web Server ที่มีแอพลิเคชั่นที่หน้าเพจมากจะโดนเจาะ Web application hacking ได้ง่ายๆ ผ่าน HTTP protocol

18