Reshare Hack Detector - CCcam

[freddchen]

Hallo leute.
Ich habe für CCcam einen Skript geschrieben das aufdeckt wenn zuviele ecm anfragen gesendet werden. Hierzu lese ich einfach die logdateien aus und zähle wieviele ecm anfragen innerhalb einer stunde gesendet wurden.
Sind es zu viele wird der User als verdächtiger in eine Datenbank geschrieben.

Vorraussetzungen!

• ihr solltet einen linux rechner als server besitzen
• logrotate muss auf eurem rechner laufen
• php und MySQL muss installiert sein

Features

• Ihr könnt sehen wer zu welcher Zeit ungewöhnliche viele ecm anfragen auf eurem Server hatte
• es werden nur anfragen mitgezählt, die auch beantwortet wurden, also erfolgreiche abfragen
• die daten werden in einer datenbank gespeichert und sind immer abrufbar
• webinterface für die Übersicht der Verdächtigen
• die ecm grenze, bei der die user zu verdächtigen werden kann selbst festgelegt werden.

VersionsHistory:
Version 1.2:

- Auslesen der log Dateien erheblich verbessert. Vorher konnte es zu fehlern kommen, wenn cronjob das skript aufgerufen hat.
​

Version 1.1:

- Gravierenden fehler in der Datumsverarbeitung behoben. Version 1.0 hat nur im August funktioniert
​

Version 1.0:



Installation:

1. Den Ordner "rhd" mit irgendeinem FileTransfer tool(bei mir z.B. WinSCP) in das Webverzeichnis(bei mir /var/www/) eures Server übertragen
2. Eine neue Datenbank erstellen und die SQL anweisungen aus der beiliegenden "SQL install.txt" ausführen(z.B. in phpMyAdmin).
3. öffnet die config.php mit einem editor und passt eure werte an
4. gebt der update.php und eurer suspects.data alle Rechte (chmod 777)
5. geht in eure cron job datei (bei IPC -> i jobs) und fügt diese zeile(Pfade angepasst) ein:
   

   */10 * * * * root /usr/bin/php /var/www/rhd/update.php >/dev/null   #  Reshare Hack Detector

6. darüberhinaus sollten diese Zeilen in der logrotate vorhanden sein(/etc/logrotate.d/rsyslog):

    /var/log/daemon.log
   {
           rotate 1
           size 5M
           missingok
           notifempty
           delaycompress
           compress
           postrotate
                   invoke-rc.d rsyslog reload > /dev/null
           endscript
   }

   Achtung die Zeitspanne der beiden deamon logdateien muss mindest 1,5 Stunden betragen. Ist das nicht der fall müsst ihr die size höherstellen (z.B. 8M)
7. die log dateien daemon.log und daemon.log.1 müssen ebenfalls alle Rechte (chmod 777) haben(normalerweise zu finden unter /var/log/)
8. als letztes solltet ihr die .htaccess anpassen, falls ihr kein IPC drauf habt. ansonsten ist das passwort das gleiche wie beim infophp

Wichtiger Hinweis!
Das Skript spürt nur VERDÄCHTIGE auf! Nicht jeder muss gleich sein reshare level umgehen! Es gibt z.B. auch Twin Tuner usw, die nunmal doppelt so viele Anfragen benötigen. Also niemals einfach die Leute löschen, sondern immer erst per pn anfragen woran das liegen kann.
Achja, und wenn leute auftauchen, die reshare besitzen einfach ignorieren, denen habt ihr schließlich erlaubt mehr anfragen als normal zu senden


Über Rückmeldungen und Fehlerberichte würd ich mich freuen


Projekt eingestellt. Ich werde den Reshare Hack Detector mit der Userverwaltung verbinden: https://www.digital-eliteboard.com/showthread.php?t=151937

 

[dbox-heini]

AW: Reshare Hack Detector - CCcam

ick glob ick bin besoffen...



wie finde ich die SQLinstal.txt :-(




gruß

 

[aragorn]

AW: Reshare Hack Detector - CCcam

heini: so früh am morgen schon am saufen?
les den post doch mal bitte zuende..