Как-то ломанули сервер, помогите понять, как защититься

Могли пропатчить ssh, netstat, who, last и соответственно не видно что кто-то заходил на сервер. Для этого даже не нужен ssh потому что закладка висит на каком-то порту и netstat не показывает этого.

А как писал Andreyka что права на файл корявые так этим способом сломать достаточно сложно. Потому что файл после исправления должен быть запущен пользователем с высокими привилегиями. Либо на нем стоит суид бит и писать в этот файл могут все подряд.

Вообще FreeBSD постоянно посылает логи руту о состоянии системы. В особенности каких юзеров добавили, какие суидные файлы изменились и запускались и т.д.

Есть один параноидальный метод защиты: это делать контрольную сумму всех файлов и потом раз в неделю проверять

да кто вам вообще сказал что систему ломанули? поставили iframe на сайты через какой-нибудь xss или в дырявых php скриптах. 100% висит где-то шелл, не так то уж и просто саму freebsd поламать чтобы получить рут доступ в систему, и тех кто может это сделать - единицы. а школьник какой-то начитался хакерских форумов и залил свой шелл. нужно его просто найти. как я писал выше, делай grep по base64 и смотри все подозрительные php скрипты, уверен что найдешь что-то интересное в папках с картинками и т.д. смотри лучше.

Сетевые жулики часто пользуются тачем, только школьники так прокалываются.

после того, как несколько подправил конфиги php, стали появлятся вражеские записи только в нескольких файлах, на которых остались права доступа 777. Только в одном экаунте.

Соответственно это явно через скрипт ломают. Но вот никак не могу найти, где же дыра.

Поиск по base64 ничего подозрительного не показал. Только 2 файла с кодами бирж (sape и xap).

Как бы отыскать вредоносный скрипт?

netstat, who, last и логи авторизации ничего не показывают, т.к. взлома и не было, дырка точно в скрипте.

Еще позавчера начал писать это дело :)

Еще раз повторю - вы знаете время изменения скрипта, куда вкрячили вредоносный код.

Внимательно глазами смотрите логи за это период (время изменения файла, плюс-минус минуту).

Скорее всего, ответ будет там.

ни в логах апача ни в логах nginx'а ничего подозрительного в это время нет. Есть в совершенно другое время попытки подставить в урл этот самый орентраф, но всё эти варианты я проверл - там сервер выдает 404 или если не 404, то ничего и не происходит.

А тут уже не подозрительное надо искать, а вообще все запросы смотреть. Отрезав статику, отрезав 404, 302 итп - разбирать все get-параметры, все скрипты, в которые были post - уже под подозрением.

На что народ только не идет вместо того чтоб сделать все как надо

сделать то я всё сделал, теперь ломать перестали, но дырки найти так и не могу

Попросите своего админа сделать аудит сервера