Как определить утечку трафика?

первым делом смотрите last, если взломал школьник - увидите проблему...

она не просто так накручивает траф - кому-то от этого еще хуже

закажите аудит и администрирование в своем ДЦ или здесь - удалят и прогу и причину взлома

да забыл написать, в администрировании я ещё слаб, и не всё понимаю, если вас не затруднить. не могли немного по подробнее писать

Ahill.spb, спасибо за помощь, правда только я не знаю где можно посмотреть last

axxisa добавил 06.06.2009 в 01:37

вот-вот, приходило ко мне пару сообщений, первое сообщение было где-то месяца три назад, второе где-то через месяц, точно уже не помню, приходило от одних и тех же. Причём пришло сперва компании у кого арендую сервер ввиде абузы(так наверное правильно) после они мне перенаправили. В письме всё было написано на английском, переводил через гугл, суть в том что мой сервер на них посылал какието запросы как я понял. Если интересно могу выложить тут это письмо.

абузы неинтересно никому

поищите в этом разделе, может кто есть онлайн из тем про администрирование ДА

напишите тикет в свой ДЦ - они часто за денюжку админят

3 месяца портите жизнь людям:)

только 1 месяц) за первые два месяца было нормально, вот только за последний месяц такое произошло.

По поводу обратится к специалистам, я может попробую но хотелось бы конечно самому разобраться. А есть ли риск доверять не известным специалистам из этого форума?

есть - отзывы почитайте и все будет понятно, удачи:)

хорошо, спасибо, буду думать

99% что не сломали а просто воспользовались уязвимостью roundcube который идет в DA по умолчанию и залили в /tmp каких-то спамилок

Я бы на месте ТС закрыл бы первым делом весь исход ну а потом глядел в лакомые места - /tmp, /var/tmp и т.д.

Ну или если есть пара копеек - то нанять админа, заказать аудит + настройку DA как надо ;)

Заходите через ssh и пишите last

Вот и всё)

спасибо большое за подсказку, сейчас запустил SSH и зашёл в директорию /var/tmp/ и обнаружил два текстовых файла

/var/tmp/shell.txt

/var/tmp/under.txt

их кстати я приложил в архиве вместе сообщением, может кому будет интересно посмотреть.

Попытался я их скопировать себе на диск, но не тут то было, антивирусник нод32 выскочил с предупреждением о троянском вирусе, и сразу удалил, пришлось антевирусник отключить дабы всё же заполучить эти файлы и посмотреть что внутри. Внутри был код написанный на перл, видимо его то злоумышленник и запускал.

Вот что об этом написано на сайте

http://www.xakep.ru/post/37834/default.asp

если отключить ssh будет вероятность что заново эти файлы окажутся на прежнем месте?

пока что я отключил ssh, мало ли...

упс, решил ещё зайти проверить директорию /tmp/ внутри которого обнаружил такие файлы, решил их скопировать себе, тоже самое нод32 определил за троян

/tmp/mac-root

/tmp/ping.txt

/tmp/dc.pl

/tmp/httpd.pl

/tmp/macroot.txt

/tmp/mind.txt

/tmp/oracle.txt

их я тоже удалил с сервера

сейчас вот задумался, может всё же заказать специалиста, чтобы всё проверил и перекрыл доступ.

Сам я сейчас полазил, заметил множество непонятных директорий, с файлами внутри которых что-то связано IRC каналами и т.п.