Как найти залитый шелл?

Нужно доверить это дело, специалистам =)

Самому нужно учится)

В данном случаи вы не сами учитесь, а хотите что-бы вас научили, на самом деле это не простая тема, тут вы просто не отделаетесь команндой find :) и можете жать скоко угодно, на репу, для меня она не показатель :)

Когда ты действительно хочешь научится, то хотябы покажи что пытались делать что бы найти shell, где стопоритесь что не получаеться, а так видно одно, вы хотите готовые решение от специалистов получить :)

смотри access.log апача. По типу:

cat access.log | grep -v index.php | grep -v portal.php

тем самым исключая нормальные запросы

grep -v отсеивает запросы, таким образом отсеив нормальные доберешься до сомнительных. Если логи не успели почистить, то почти наверняка дето должен быть засвет.

ну можно еще cgi скрипты в конфиге апача вырубить

madoff, я незнаю что вам сказать, спросил так как умею, отяготить никого не собирался.

tuxee, я смотрел мельком но ничего не нашёл, сейчас сливаю все логи и попробую поискать детально, дело в другом - запрос может быть отправлен и POST методом который в логи не попадает.

Яобственно что я хочу узнать - насколько я понимаю запустили perl скрипт с правами апача, какова вероятность что испорчено (либо что то появилось) вне директорий сайтов?

zloj добавил 24.09.2010 в 15:02

CGI было отключено для всех пользователей, запустили скорее всего через системную команду PHP...

modsecurity тоже нече не ловит ?

1) Искать вызовы посторонних файлов в логе access.log.

2) искать посторонние файлы во всех вложенных папках сайта.

Лучше переустановить ОС, так как хакер мог заменить системные файлы на сервере.

В Вашем случае все просто:

strace 17884

Или же lsof 17884

Это даст Вам множество информации о процессе, в том числе и о его местоположении ;)

Закрой дыры mod_sec

Этот шелл запускаясь вытирает свой файл