Webspace gehackt?

[Jenna]

Hallo zusammen,

undzwar habe ich ein Problem:

Ich habe eine Website. Rein aus Neugierde habe ich bei Google mal meine URL eingegeben und auf "Suchen gedrückt". Das erste Ergebnis hat dann nun den richtigen Link zu meiner Website angezeigt. Wenn ich nun aber auf diesen Link im Google klicke, öffnet sich meine Website für ca. eine halbe Sekunde und man wird direkt auf eine andere Seite, die auf meinem Webspace zu liegen scheint, weitergeleitet. Wenn ich im Browser meine Seite direkt aufrufe, kommt dies nicht, sondern nur, wenn ich über Google auf meine Seite will.

Diese Seite sieht so aus: http://img135.imageshack.us/my.php?image=screenrl6.jpg
Nun habe ich aber überhaupt keinen Blog auf dem Space installiert. Den Pfad (siehe Screenshot) habe ich auch nie selbst angelegt. Ich habe diesen "etipeh"-Ordner gelöscht und schnell meine FTP-Daten geändert. Schon war das Problem gelöst und diese dubiose Blog-Seite hat sich mir nicht mehr geöffnet.

Jetzt, 2 Wochen später, habe ich rein aus Jux nochmal geschaut, ob alles nach wie vor in Ordnung ist, und siehe da, wenn ich über Google auf meine Seite einsteigen will, öffnet sich genau diese Seite wieder und diese Blog-Daten sind auch wieder auf meinem Webspace abgelegt.

Ich habe natürlich auch Google bemüht, um etwas hierüber rauszufinden, aber habe nix passendes gefunden.

Kann mir von euch jemand sagen, was das genau ist und wie ich das Problem endgültig lösen kann? Ich hab sicherheitshalber auch mal meine komplette Website gesichert, weil mir das richtig Angst macht.

Viele Grüße,

eure Jenna

[suit]

Ich habe diesen "etipeh"-Ordner gelöscht und schnell meine FTP-Daten geändert.

Ich hab sicherheitshalber auch mal meine komplette Website gesichert, weil mir das richtig Angst macht.

definiere "website gesichert" und "ftp daten geändert"

dir ist schon klar, dass ein potentieller angreifer entweder über unsichere passwörter "admin / password" oder "administrator / 12345" reinkommt oder über ganz andere sicherheitslücken

ggf wäre mal das log des servers ganz interessant um zu sehen wer sich wann wo über ftp/scp/ssh oder wie auch immer eingeloggt hat

[Jenna]

Ehm ja, FTP user hat 12 Zeichen inkl. Sonderzeichen und Groß- und Kleinschreibung, Passwort 10 auch mit Sonderzeichen etc.

Wie komm ich an das Log ran? Über 1&1?

[Matt]

Wie komm ich an das Log ran? Über 1&1?

Je nachdem wo du deinen Webspace hast. Die werden dir auch schon eher Auskunft darüber geben können, ob das jetzt wirklich gehackt ist oder einfach nur etwas "nicht stimmt".

Also Hotline anrufen ;)

[suit]

Also Hotline anrufen ;)

viel spass bei 1&1 :D

30 minuten warteschleife - "wir spielen ein update am ftp-server ein, dann sollte es wieder gehen" (!) - 3 tage später kommt mail "update ist eingespielt" aber keine veränderung erkennbar :D

hatte ich bei ein paar meiner server mit dem coole ftp-backup ;) aber sie bemühen sich wenigstens

[Maxx]

Hallo,

... siehe da, wenn ich über Google auf meine Seite einsteigen will, öffnet sich genau diese Seite wieder und diese Blog-Daten sind auch wieder auf meinem Webspace abgelegt.

Ein paar mehr Angaben wären nicht schlecht.
  Unterstützt dein Webspace PHP oder eine andere serverseitige Sprache?
  Wenn ja, hast du auf deiner Seite irgend eine Software instaliert?
  Zum Beispiel ein Forum, ein Gästebuch oder ähnliches.

Kannst du denn Quelltext der Seite auf die das Google Sucherergebnis verweist (vermutlich die index.html, oder index.php) hier posten oder irgendwo hochladen. Interessant wäre die Version nach dem "Hack". Also die mit der Umleitung.

Deine Seite ist bei 1&1 gehostet? Über das "Control Center" solltest du Zugriff auf deine Webstatistiken haben. Dort sind sicher auch die Zugriffslogs. Lade die Logs für den fraglichen Zeitraum irgendwo hoch.

Grüße,

Jochen

[fastix®]

Moin!

Ich habe eine Website. Rein aus Neugierde habe ich bei Google mal meine URL eingegeben und auf "Suchen gedrückt". Das erste Ergebnis hat dann nun den richtigen Link zu meiner Website angezeigt. Wenn ich nun aber auf diesen Link im Google klicke, öffnet sich meine Website für ca. eine halbe Sekunde und man wird direkt auf eine andere Seite, die auf meinem Webspace zu liegen scheint, weitergeleitet.

Klingt nicht so, als wäre dies Dein Ziel.

undzwar habe ich ein Problem:

Und Du behältst es auch, wenn Du keine zielführenden Angaben machst.

• Mit welchem Suchbegriff bei Google gefunden
• Auf welcher Seite der Google-Suchergebnisliste (einfach mit Copy & Paste einfügen)
• Wohin verweist der Link von Google (einfach mit Copy & Paste einfügen)

Du schreibst sowas wie "Ich habe ein Tier dem es nicht gut geht. Welche Krankheit hat es? Was muss ich dem zu fressen geben, damit es gesund wird?".

MFFG (Mit freundlich- friedfertigem Grinsen)

fastix®

[Sven Rautenberg]

Moin!

Nun habe ich aber überhaupt keinen Blog auf dem Space installiert. Den Pfad (siehe Screenshot) habe ich auch nie selbst angelegt. Ich habe diesen "etipeh"-Ordner gelöscht und schnell meine FTP-Daten geändert. Schon war das Problem gelöst und diese dubiose Blog-Seite hat sich mir nicht mehr geöffnet.

Jetzt, 2 Wochen später, habe ich rein aus Jux nochmal geschaut, ob alles nach wie vor in Ordnung ist, und siehe da, wenn ich über Google auf meine Seite einsteigen will, öffnet sich genau diese Seite wieder und diese Blog-Daten sind auch wieder auf meinem Webspace abgelegt.

Deine Bildergalerie ist offenbar hackbar!

Informiere dich, ob der Skripthersteller ein Update anbietet. Spiele es unverzüglich ein.

Alternativ deaktiviere deine Bildergalerie sofort, und/oder verwende ein anderes Galerieskript.

Andere Einfallstore sind natürlich denkbar, beispielsweise jedes andere verwendete Skript auf deinem Webspace - da du dich aber so schön anonymisiert hast, sieht man nix.

- Sven Rautenberg