100% процессора и непонятные *.pl процессы

В кроне ничего нету лишнего?

cat /etc/crontab

Посмотрите полный путь откуда выполняются скрипты, посмотрите что в скриптах.

ps -aux

Во первых нужно удалить эти файлы, их можно найти через миднайт коммандер.

Включите в php open_base_dir или safe_mode.

Если есть скрипты с правами 777 измените права на 644.

Если не пользуетесь перлом, отключите

В кронтабе только ссылки на "подкроны". Часовой крон я вообще закомментил, на всякий, на время "разборок".

SHELL=/bin/sh

PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin



# m h dom mon dow user  command

#16 *   * * *   root    cd / && run-parts --report /etc/cron.hourly

43 1    * * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.daily )

5 1     * * 7   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.weekly )

54 1    1 * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.monthly )

И из подкронов все поубирал, оставил только:

 ls /etc/cron.daily/

quota  standard  sysklogd



ls /etc/cron.weekly/

sysklogd



 ls /etc/cron.monthly/

proftpd  standard

В /etc/cron.d еще скрипт по очистке сессий PHP5. И в принципе все.

Удаление файлов не прокатывает, так как find / -name "*kbm.pl*" ничего не выдает - нечего удалять :(

Насчет отключения перла - не отвалится ли панель (ISP manager)?

Заливают скрипты и скорее всего шлют спам

Или сайты дырявые или пароль увели

Ну у всех сайтов отключена возможность cgi-bin. Или это не поможет, если у кого-то из юзеров панели увели пароль от фтп?

посмотрите логи ftp, кто заливает/удаляет и какие файлы, скорее всего тут будет ответ.... perl нужно отключить тем пользователям, которые его не используют.... у пользователей есть доступ к крону/bash ?

+1

скорее всего Вас поломали.

поставьте и настройте suhosin, изучите документацию по php.ini на предмет disable_function

This server is protected with the Suhosin Extension 0.9.12

Это то, о чем вы говорите? Нашел в своем phpinfo().

Пароль рутовый поменял.

Юзеры к крону доступ имели, через ISP Manager. Пойду отключу.

перл и си выключать, в тмп папки поглядеть (обычно там разводится)

если так не найти - можно clamav просканировать (хоть и говорят, типа не для того - я когда схватил руткит с комплектом - сам и половины не нашел, а сканер все нашел)

Скажите, а как отключить перл без его удаления? Debain 4. Просто у меня софт установлен через панель, и при попытке удаления перла через apt-get remove perl мне apt предлагает удалить и MYSQL-сервер, и PHP5, и еще кучу софта :(

Спасибо.