Вредоносный код.

12
H1
На сайте с 23.09.2009
Offline
0
1272

Здравствуйте.

на одном из наших серверов столкнулись с такой проблемой:

апач во все выдаваемые страницы добавляет вредоносный код. физически в страницах кода этого нет.

решатся вопрос пересборкой апача и php, но на время.. 1-2 дня.

Если можете что-либо подсказать на этот счет - будем благодарны, в том числе и материально.

open_base_dir ON, php CLI 5.2.11, apache 2.2.13

Linux 2.6.29.5-grsec-hostnoc-4.2.0-x86_64-libata #2 SMP Wed Jul 8 18:25:10 EDT 2009 x86_64 x86_64 x86_64 GNU/Linux

M
На сайте с 16.09.2009
Offline
278
#1
hostin1234:
на одном из наших серверов столкнулись с такой проблемой:

апач во все выдаваемые страницы добавляет вредоносный код. физически в страницах кода этого нет.

решатся вопрос пересборкой апача и php, но на время.. 1-2 дня.

Если можете что-либо подсказать на этот счет - будем благодарны, в том числе и материально.

open_base_dir ON, php CLI 5.2.11, apache 2.2.13

Linux 2.6.29.5-grsec-hostnoc-4.2.0-x86_64-libata #2 SMP Wed Jul 8 18:25:10 EDT 2009 x86_64 x86_64 x86_64 GNU/Linux

1. На руткиты проверьте.

Пишите в личку, попробую помочь.

Абонементное сопровождение серверов (Debian) Отправить личное сообщение (), написать письмо ().
H1
На сайте с 23.09.2009
Offline
0
#2
myhand:
1. На руткиты проверьте.

Пишите в личку, попробую помочь.

rkhunter не находит ничего из руткитов

M
На сайте с 16.09.2009
Offline
278
#3
hostin1234:

апач во все выдаваемые страницы добавляет вредоносный код. физически в страницах кода этого нет.

решатся вопрос пересборкой апача и php, но на время.. 1-2 дня.

Если можете что-либо подсказать на этот счет - будем благодарны, в том числе и материально.

open_base_dir ON, php CLI 5.2.11, apache 2.2.13

PHP работает модулем? Или CGI+suexec?

Himiko
На сайте с 28.08.2008
Offline
560
#4
апач во все выдаваемые страницы добавляет вредоносный код. физически в страницах кода этого нет.

Что-то ни разу такого добра не видел) Если конечно это руткит какой-то не делает...

Было бы интересно глянуть...

Можете обратиться ко мне, отзывы и контакты в подписи.

Профессиональное администрирование серверов (https://systemintegra.ru). Круглосуточно. Отзывы (/ru/forum/834230) Лицензии (http://clck.ru/Qhf5) ISPManager,VDSManager,Billmanager e.t.c. по низким ценам.
M
На сайте с 16.09.2009
Offline
278
#5
Himiko:
Что-то ни разу такого добра не видел) Если конечно это руткит какой-то не делает...

Не обязательно руткит.. например, используется php-cgi + suexec и скрипты PHP работают от того же пользователя, что владеет бинарником php-cgi.

Himiko
На сайте с 28.08.2008
Offline
560
#6
например, используется php-cgi + suexec и скрипты PHP работают от того же пользователя, что владеет бинарником php-cgi

и?

Не думаю, что таким образом можно подменить "выдачу" других скриптов.

M
На сайте с 16.09.2009
Offline
278
#7
Himiko:
и?
Не думаю, что таким образом можно подменить "выдачу" других скриптов.

Если вы подменили интерпретатор - можете добавить что угодно, к

тому, что он интерпретирует.

H1
На сайте с 23.09.2009
Offline
0
#8

php cli - модуль апача, стоит suhosin, mod_security. бинарники системы и пхп ЦЕЛЫЕ. рут доступ никто не получал, пас меняли, и еще раз меняли. сейчас ставим не grsec ядро, посомтрим..

M
На сайте с 16.09.2009
Offline
278
#9
hostin1234:
бинарники системы и пхп ЦЕЛЫЕ

Это проверялось, как я понимаю, с live cd? ибо если из системы - то, чем проверялось (md5sum, например) - вполне может быть протроянено.

В общем, буду удивлен, если кто-то поможет без более детальной информации - нужно смотреть.

H1
На сайте с 23.09.2009
Offline
0
#10

да, md5sum через csf. пробема проходит после пересборки апача и php. будем обращатся более детально к админам, если не решим.

но уязвимость забавная, ей богу, берегитесь)

12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий