Как-то ломанули сервер, помогите понять, как защититься

не увидел в топике... а кто Ваш хостер?

на что именно обращать внимание? Файлов, в которых base64 встречается дохрена.

wordpress, коды бирж и т.д.

PAB добавил 24.08.2008 в 12:44

сервер у скаймедии лежит skyme.ru

php в таком режиме - уязвимость, потому что не дает отследить скрипты какого юзера были проломаны

clamav ничего не показал

методом научного тыка и ограничений разных, под атакой остался один экаунт и вредоносный код появляется там только в одном файле, запись в который разрешена специально

как теперь отследить откуда туда пишут?

Подключитесь по ssh и наберите:

halt и нажмите на "ENTER"

А потом звоните тому же Andreyka с этого форума. Можете и PM написать 😆

ну для начала как минимум сравнить время модификации этого файла с логами апача и прчего софта (фитипишник, лги крона) за это время.

как я уже писал, в логах апача ничего подозрительного нет, в логах фтп тоже, т.к. он отключен, в кроне тоже ничего подозрительного.

Чудес не бывает - тот кто лезет к серверу имеет 100% доступ к системе. Он может издеватся столько, сколько ему понравится. Находить можно изучая всё очень внимательно. Взломщик не напишет "здраствуй я ваша тётя, ищи меня там во столько то часов".....

Андрейка написал чётко в чём проблема, остаётся только её найти. Это типичные ошибки народных умельцев. Извините за резкость, но надо иметь терпение по крупинке перерыть весь сервер. Если не найдёте, повторите процесс до тех пор, пока найдёте....

А так

pkg_add -r sysadmin

#!/bin/sh

for x in "/dev/shm /tmp /usr/local/apache/proxy /var/spool /var/tmp"; do ls -loAFR $x 2>&- \

| grep -E "^$|^/| apache | nobody | unknown | www | web | htdocs " \

| grep -E "^$|^/|/$|\*$|\.pl$" | grep -Ev "sess_" \

| tee exploits.txt; done; echo -e "\n\nPossible Exploit Files and Directories: `grep -Ev "^$|^/" exploits.txt \

| wc -l | tr -d ' '`" | tee -a exploits.txt

exit

может пригодится

Внимательно смотрите диру /tmp,куда любят складывать эксплойты.

Скачайте AVZ,сделайте скан своих компов. Возможно, что-то осталось.