Kürzlich musste ich mich nach längerer Zeit mal wieder mit den Logs meiner Website beschäftigen. Der Grund war, dass ein böser Mensch auf jeder index.html ein JavaScript eingefügt hatte, das einen Cookie setzt (XSS), und ähnlichen PHP-Code in eine PHP-Datei. Wie er das geschafft hat, habe ich letztendlich nicht herausgefunden. Die freundlichen Hacker aus der Nachbarschaft meinten, am wahrscheinlichsten wären alte löchrige PHP-basierte Foren, evtl. auch CMS, Blogs oder Wikis. In der Tat gammelte ein vor zwei Jahren installiertes, nicht genutztes und nicht aktualisiertes Forum auf meinem Website herum, das von nirgends verlinkt war. Ich habe es komplett gelöscht und alle befallenen Dateien gesäubert. Einen Monat später war der Schadcode wieder da , obwohl es nun keinerlei Foren oder andere PHP-Applikationen mehr auf meinem Webspace gab. Ich habe nun alle Passwörter geändert, auch wenn es nicht wahrscheinlich ist, dass der Angriff darüber erfolgte.

Peinlich peinlich. Beim ersten Mal hat mich jemand per ICQ kontaktiert, dass Firefox beim Betreten meiner Website eine ganzseitige Warnung anzeigt und den Benutzer - zum Glück - daran hindert, die Seite zu betreten (diese Funktion greift auf eine Malwareliste von Google zu). Beim zweiten Mal hat sogar jemand angerufen, da eine meiner Domains so ähnlich lautet wie die einer größeren Website (meine war zuerst da, ich habe sie nicht nach ihnen benannt), und sein Virenscanner beim - versehentlichen - Besuch meiner Domain anschlug. Zum Glück gibt es Leute, die so etwas nicht auf sich beruhen lassen.

Einen positiven Nebeneffekt hat die ärgerliche Angelegenheit gehabt. Ich musste mich bei den Google Webmaster Tools anmelden, um meine Domain nach der Säuberung wieder von der schwarzen Liste herunterzubekommen, also um die Freischaltung zu beantragen. Dabei habe ich festgestellt, dass sie ganz interessante Informationen bereithalten, vor allem, mit welchen Suchworten die Leute auf meine Website kommen.

Wie der Angriff nun erfolgt ist, vor allem der zweite, habe ich wie gesagt nicht herausfinden können. Denkbar wäre eine Sicherheitslücke im Confixx. Aber bevor ich meinem Provider so einen Verdacht mitteile, wollte ich zumindest irgendeine Art von Hinweis darauf haben. Ich habe nur einfachen Webspace, keinen Rootserver o.Ä., also steht mir nichts außer dem access_log zur Verfügung, und daraus konnte ich nichts schlussfolgern.

Beim Ansehen der Statistiken und access_log-Dateien ist mir aber etwas anderes Interessantes aufgefallen. Dazu später mehr.

Monika