Как отключить навсегда вирус, залезший в VPS?

Проверяйте кронтабы, просканьте rkhunter или chkrootkit, смотрите /etc/passwd на предмет лишних юзеров, пригласите админа.

- обновите Apache, PHP

- в disable_functions пропишите запрет на все функции запуска

- проверьте все папки (веб) на наличие странных файлов с правами запуска

- в конфиге пропишите фильтрацию всех GET запросов содержащих http://, ftp://, а также таких вещей как DOCUMENT_ROOT и т.п.

- выключите CGI, cron везде, где не используете

А помоему это ротация криво настроена

да не, была такая фишка под DA + mod_php, зараза, аккуратно перехватывала "процесс" Апач, и когда Апач рестартовался (в 0:00 как раз происходит рестарт по причине ротации логов), зараза занимала его порт + не давала ему стартануть 🚬

я так думаю это как раз тот случай 🚬

у меня как раз DA, как исправить эту ошибку?

ну первоначально обновить весь софт + рекомендации я указал двумя постомами выше 🚬

Исправить просто - скипт из lsof и kill поможет убить дрянь, сидящую на 80-ом порту

правильно, только если движок сайта дырявый, то заразу будут прогружать снова и снова, так что полюбому надо пофиксить саму проблему 🚬

Это не движок сайта - это специфика сборки апача с php в DA

Лечится кстати переходом на fpm-php

а можно примерчик?:)

я так понял что lsof найдёт процесс. а kill убъёт. но как это в скрипт прописать? а потом ещё и httpd стартануть?

у меня всегда появляется процесс ./quene от пользователя apache, вот его и всегда приходится убивать вручную а потом перезапускать httpd... похоже это бот eggdrop, я его в папке /tmp/ нашёл