Как-то ломанули сервер, помогите понять, как защититься

netstat -na | grep LISTEN

netstat -na

Впрочем, если кто-то действительно заломал систему и получил туда рутовую консоль - то все это бессмысленно. Гомеопатией и припарками такое не лечится.

нетстат ничего дельного не показывает - только апач, вебмин, nginx, смтп и mysql

Доступ к серверу есть только по ssh2 по privatekey

rkhunter сказал, что всё чисто

Так, стоп - а из файликов ручками вредоносный код вычищали?

да, еще и прошелся поиском по всему серверу, чтобы проверить где еще есть

отовсюду выморол

Ну тогда без вариантов - скрипты.

попробуйте clamav поставить на сервер и пройтись (почстит последствия, снесет руткиты)

кагда не мог найти как ломают - тупо отключал перл и си (на это время успокаивалась активность новых сборок бяки)

но чаще всего всеже надо свой комп лечить;)

и у меня и у напарника стоят лицензионные антивирусы, которые поддерживаются в актуальном состоянии постоянно. У него нортон, у меня нод32. На компах чисто.

на серваке поставил rkhunter, hostsentry, portsentry, logcheker - тишина и опять файлы заражены. В логах чисто. Поставил сламав, он проверяет пока систему.

find /path/to/wwwfiles -name '*.php' | xargs grep base64

Ко мне обращалось наверное около 30-40 клиентов с подобными проблемами.

Везде диагноз был одинаков, причем в 2-х вариантах:

1. Троян, укравший пароли. Обычно живет в Total Commander

2. Неверные настройки сервера, требующие 777 для директорий или 666 для файлов на запись

Это все от незнания элементарных основ настройки сервера для хостинга сайтов.

Делайте sshkey, ставьте php чтоб работал от юзера и права 700/600. Ну или на крайний случай - 750/640.

В свое время я как-то при помощи тестового доступа смог(бы) получить полный контроль над серверами одного известного хостинг провайдера. Причиной была неверная расстановка прав на файлы.

Да, еще. Сейчас такие трояны пошли - их не видят антивирусы, даже лицензионные.

А если на сервере установлен троян то его искать запуском rkhunter с того-же сервера - бесполезно. Надо с Live CD грузить и тогда уже смотреть

sshkey уже сделан

пхп работать должен от какого юзера? сейчас он стоит как модуль апача и работает из той же группы, что и апач.

это не троян на компах - судя по таймстемпу последнего взлома, и у меня и у напарника в это время компы были выключены.

***

а как-то можно отследить и залогировать кто имел доступ к файлу, как и когда?