Help! Взлом сайтов на акке.

дыра на 1 сайте - и все сразу под прицелом, не факт, что через FTP был взлом.

Допускаю. А ответ на вопрос "как сделать так, чтобы добавлять файлы на хостинг и изменять их имел только я со своего статического айпи" есть? :)

а на шеллы вы сайты проверяли?

раз вы говорите что после первого раза меняли пароль, то тут 80% что фтп вообще не при чём. И запрещайте вы что угодно, а они будут дальше через шелл творить свои дела

Даже, если через FTP - то пара шеллов все равно есть где-то спрятанных.

Так что ищет шеллы, смотрим логи, закрываем дыры.

WebGomel, пока ещё нет - оттолкнулся от простейшего.

TF-Studio, понял, буду покопать... :)

так значит, защитить (запретить изменения файлов) с помощью административных барьеров на хостинге никак?

Почему же, - меняйте хостера. Нормальный хостинг без проблем закроет доступ к фтп для других айпишек.

Но сначала найдите залитый вам шелл.

Согласен с предыдущими высказваниями, ищите шеллы.

Так же хотел уточнить, сайты у одного хостера на одном серваке? Если да, то возможно просто взломали сам сервер - наилучший вариант найти шелл и переехать на другой хост.

Посмотри на античате, очень много информации, как их искать.

Искать так:

http://rushter.com/2011/poisk-shellov-na-sajjte/

Но удалять мало смысла, надо искать как заливают и исправлять.

За этим можно обратиться ко мне, естественно не за бесплатно.

Благодарю всех, кто отписался в моём топике. Первый раз сталкиваюсь с шеллами, так что буду изучать и эту область жизни сайтов.

rushter, спасибо за предложение, но пока откажусь, так как сайты были в основном сапу или под развитие, т.е. с адекватным Вашему предложению доходом - там сайтов не было.

Apokalepsys, вопрос был по сайтам на одном серваке, но сейчас начал внимательно смотреть и свои сайты на других серваках.

Нашёл пару шеллов... тут же родилась ещё пара вопросов:

1. Так и не понял куда прописывать команды типа: "egrep -rlZ -e "gzinflate" /var/www" . Логика подсказывала, что в командную строку WinSCP (у меня версия 4.3.6), но при попытке сначала получаю окошко: "Текущее соединение "SFTP-3" не может выполнить запрашиваемую Вами команду. Для этой цели можно открыть дополнительное соединение и т.д.", а нажимая "да" через пятОк секунд получаю ответ: "Соединение неожиданно разорвано. Сервер вернул код завершения команды 0" и комментарий: "Не могу различить сообщение приветствия. Вероятно, несовместимая версия командного интерпретатора (рекомендуется BASH)."

Или, всё же, не туда прописывал? 😕

2. Один из этой пары пойманных зверьков звался virsion.php и буквально через секунду был изменён файл в той же папке 404.php. Посмотрел код 404.php своим не очень опытным взглядом - ничего криминального не узрел. Прилагаю скрин - может кто более опытным оком узреет что-ндь криминальное...