- Поисковые системы
- Практика оптимизации
- Трафик для сайтов
- Монетизация сайтов
- Сайтостроение
- Социальный Маркетинг
- Общение профессионалов
- Биржа и продажа
- Финансовые объявления
- Работа на постоянной основе
- Сайты - покупка, продажа
- Соцсети: страницы, группы, приложения
- Сайты без доменов
- Трафик, тизерная и баннерная реклама
- Продажа, оценка, регистрация доменов
- Ссылки - обмен, покупка, продажа
- Программы и скрипты
- Размещение статей
- Инфопродукты
- Прочие цифровые товары
- Работа и услуги для вебмастера
- Оптимизация, продвижение и аудит
- Ведение рекламных кампаний
- Услуги в области SMM
- Программирование
- Администрирование серверов и сайтов
- Прокси, ВПН, анонимайзеры, IP
- Платное обучение, вебинары
- Регистрация в каталогах
- Копирайтинг, переводы
- Дизайн
- Usability: консультации и аудит
- Изготовление сайтов
- Наполнение сайтов
- Прочие услуги
- Не про работу
Как снизить ДРР до 4,38% и повысить продажи с помощью VK Рекламы
Для интернет-магазина инженерных систем
Мария Лосева
VK приобрела 70% в структуре компании-разработчика red_mad_robot
Которая участвовала в создании RuStore
Оксана Мамчуева
Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий
В подключаемые JS постоянно заносятся iframe, антивирусы шеллы и подозрит файлы не находят.
Логи довольно объемные, но те выборки что я делал ничего не дали.
Можно ли определить по логам или еще каким-то образом запросы при помощи которых заносился код в JS файлы?
faedrus, можно. в крайнем случае можно еще логов добавить и по ним определить
Попробуйте ionotify: http://inotify-tools.sourceforge.net/
Или стандартное audictl: http://www.cyberciti.biz/tips/linux-audit-files-to-see-who-made-changes-to-a-file.html.
Сценарий использования:
1. touch /tmp/file - создадим файл
2. auditctl -w /tmp/file -p wa -k logFile - включим логирование изменений
3. touch /tmp/file - что-нибудь сделаем с файлом
4. ausearch -k logFile - посмотрим лог изменений
Выдаст в итоге что-кто-куда. Будет, наверное, неплохим началом.
Glueon, ну да, выдаст, что изменения были сделаны апачем, что и так понятно
Glueon, ну да, выдаст, что изменения были сделаны апачем, что и так понятно
Доподлинно этого пока не известно. К тому же это даст timestamp, в районе которого можно будет изучить запросы к apache/nginx.
michaek, а какое логирование еще можно подключить?
michaek, а какое логирование еще можно подключить?
Я бы добавил еще mod_security. Возможно бьют через дырку в скриптах. Можно либо через auditctl либо на крайняк через stat понять когда внесены изменения и потом попробовать поизучать содержимое запросов в это время. Возможно вылезут какие-нибудь подробности.
Если же у вас руткит на сервере - через auditctl это будет более-менее видно.
michaek, а какое логирование еще можно подключить?
логи изменения файлов, как тут уже посоветовали, логи POST-запросов, логи запросов в бд, если туда что-то прописывают
Если на вашем сервере меняют файлы - то надо делать аудит.
Очевидно, что есть дыра и стоит сначала её закрыть, а потом уже остальными вещами заниматься.
Если на вашем сервере меняют файлы - то надо делать аудит.
Уже не один аудитор аудировал, да ничего невыаудировывал:)
Кстати, на мой взгляд один из неплохих вариантов помониторить проблему - загрузить сервер в rescue mode, примонтировать систему и в chroot поднять минимальный набор сервисов, чтобы работал ваш сайт.
По lsof из самой рески по каталогу к которому вы примонтировали систему будет видно что в данный момент используется chroot-нутой системой, т.е. то, что может быть потенциально заражено. Тогда если изменят JS-файл будет по крайней мере понятно, что либо rootkit в одном из файлов, выдаваемых lsof-ом по директории, либо вас все же имеют через брешь в веб-приложении.
Если ничего происходить не будет и js не будет изменяться - станет понятно, что скорее всего брешь не при чем и закладка где-то в другом месте. Я бы в таком случае сделал реинстал ...