WEB SHELL

удалите его, проверьте логи, через какой скрипт был залит шелл, проверьте права доступа

odd, вэб шел это как правило один скрипт(php,perl) который предназначен для управления сайтом. Может иметь множество функций: скачивание\заливка\удаление файлов, дамп MySQL, просмотр логов и конфигов сервера + выполнение команд на сервере. Если вам залит хакерский шелл то он может иметь дополнительно еще парочку примочек.

Удалите его со своего сервера пока не поздно.

Смотрите дату редактирования файла и ищите в логах доступа записи за это время (+- несколько минут). Если повезет (дата редактирования файла настоящая), то один экземпляр скрипта вычислите. Далее ищете в логах другие записи по IP, с которых работали с этим скриптом, наверняка на сервере будет ещё несколько копий скрипта. Удаляете все скрипты и внимательно следите за логами.

найдите все директории на сервере с правами 777 и выставьте нормальные права

То что залили - пол беды. То что лазиют по другим аккаунтам - совсем плохо.

Чтобы найти "все" шелы на сервере:

find /home \( -regex '.*\.php$' -o -regex '.*\.cgi$'  \) -print0 | xargs -0 egrep -il "r0nin|m0rtix|r57shell|c99shell|phpshell|void\.ru|phpremoteview|directmail|bash_history|brute *force"

в одну строку.

Можете даже крон задачу сделать и посылать себе на мыло результаты. Хотя особо часто запускать тоже плохо, все таки большая нагрузка на диск. систему.

успехов

Может кто знает.

В начале 2007г. одного крупного хостинг-провайдера ломанули и залили вот этот скрипт на все аккаунты пользователей. По моему проблему только через месяц решили

если валуй, то только один сервер и в 2006-м это было :)

подобрали рутовый пароль, насколько я знаю

Mihajlo, мне известна информация что бд клиентов не была зашифрована потому её в лёгкую скачали и начали продавать.

Скачать все файлы на локальный комп и прогнать NOD32, он их хорошо отлавливает, а заодно и сам комп проверить ;). Удалить все левые файлы, поменять пароли, установить правильные права.

alexseo, nod32 отлавливает )))))))))))))))))))))) Пинча закрываем неизвестным exe пакером и нод отдыхает а вот drweb свежий материться и касперский тоже но касперский только вирусную активность фиксирует хорошие полиморфы он ловить пока не умеет к сожалению ((( Ладно простите меня за флуд просто не один антивирус тестировал на vmware и тд штучках знаю что работает а что нет.