Массовый взлом апачей на Linux-серверах.

пару раз видел такое в качестве пользователя. поскольку ресурс не мой, не интересовался-апач там у них поломали или еще что :)

спасибо за инфу.

В теме на гугле пользователи обсуждают вопросы, в которых совершенно не разбираются (в том числе по собственным словам), так что информации тема не представляет. Соответственно никаких массовых взломов апачей не продемонстрировано. Скорее речь о взломах движков типа старого вордпресса.

cve смотрите а не всякие холивары неизвестно где.

Сообщите версию Apache пожалуйста + конфигурацию модулей.

Прочитал. Никаких проблем с апачем нет:

Действительно, на странице диагностики указаны знакомые .in сайты. Однако, заметьте, что в промежуточных звеньях указаны украинские сайты. Возможно, что на вашем сайте есть элементы с тех сайтов, а уже они-то и находятся на взломанном сервере, и через них зараза распростаняется на ваши сайты. Поэтому переустановка и не победила проблему.

Но это только гипотеза - я впервые вижу подобную смесь .in и .ua доменов на странице диагностики для данной атаки.

Ещё есть вариант, что взломан не главный бинарник апача, а какой-то подключаемый модуль. И он может подключаться по команде хакеров (каким образом - это главная загадка. Знал бы где дыра, давал бы чёткие советы)

что-то я сомневаюсь, что кто-то "взломал апач", скорей-всего есть какая-то уязвимость в скриптах и через неё все работают, искать это всё надо через тспдамп, конечно, не просто и долго...но можно

Какраз с апачем и есть проблема, сравнить контрольную сумму бинарника текущего и исходного, она не будет совпадать. Что именно скручено в апаче - не важно, важно знать как это происходит.

Если у кого либо есть мысли - поделитесь, что может быть.

В свое время пое%ались с этой проблемой знатно у нескольких клиентов. Сейчас есть временное решение, но хочется убрать механизм, а не ставить костыли.

Извините - если у вас подменили бинарник, доступный на запись только руту (и вы 100% в этом уверены), то причем здесь клоз^Wапач-то?

Сносите систему в сторонку - заменяйте ее новым сервером, переустановленным с нуля. А дальше разбирайтесь какой патч к ядру вы забыли поставить, где вы намутили идиотские права и т.п. Разруха^WПроблема явно не в апаче...

Я не спрашиваю, что мне делать. Читайте внимательно, я не считаю что ломают апач. Апач - это уже "монетизация" взлома. Я спрашиваю, как может быть получен доступ рута на голую систему со всеми последними обновлениями. Есть мысли, что в openssh присутствует дырка, о которой мало кто знает, через которую можно зайти рутом без особых проблем. Для теста ставили систему, через неделю была сломана.

Набор софта - стандартный LAMP. Апач, ссх, фтп собраны вручную из последних версий. Контент - статика.

есть мысль, что кое у кого на компьютере вирус с кейлоггером.