помогите выяснить каким образом взломали

12
M
На сайте с 15.03.2012
Offline
128
1203

приветствую

обнаружил у себя на ВДС несколько файлов кем то оставленных (с опасным содержимым).

Хочу выяснить как они попали на сервер.

Файлы размещены в разных каталогах, которые принадлежат разным пользователям системы, значит врядли через FTP.

Кроме того, владелец файлов - root

Означает ли это, что файл бы записан из консоли под рутом?

webrock
На сайте с 05.04.2010
Offline
261
#1
Moltisanti:

Означает ли это, что файл бы записан из консоли под рутом?

возможно брутили SSH

логи посмотрите.

Полный аудит сайтов. (/ru/forum/765361)
M
На сайте с 15.03.2012
Offline
128
#2
webrock:
возможно брутили SSH

разъясните пожалуйста, я не понимаю что это значит, я лишь программист)

Prosto Digital
На сайте с 25.09.2010
Offline
321
#3
Moltisanti:
разъясните пожалуйста, я не понимаю что это значит, я лишь программист)

Брут = взлом путём подбора пароля.

Ищите дыры в сайтах. Подозрительные плагины, не обновлённые цмс и т.д.

Обучение арбитражу трафика. Affiliate marketing education. https://prosto.digital.tilda.ws/
M
На сайте с 15.03.2012
Offline
128
#4

Noctes, вы скажите

Moltisanti:
Кроме того, владелец файлов - root

это о чем нибудь говорит?

webrock
На сайте с 05.04.2010
Offline
261
#5
Moltisanti:


(с опасным содержимым).


Файлы размещены в разных каталогах, которые принадлежат разным пользователям системы, значит врядли через FTP.
Кроме того, владелец файлов - root

в какие именно директории были заброшены файлы, что за файлы, какое расширение?

M
На сайте с 15.03.2012
Offline
128
#6

файлы записаны в папки сайтов, так чтобы был доступ по http. Загруженные файлы - скрипты php, представляют из себя загрузчики файлов в корень текущего сайта (видимо, для последующего исполнения)

Названы по разному и записаны в совершенно разные директории - видно, что вручную

webrock
На сайте с 05.04.2010
Offline
261
#7
Moltisanti:
файлы записаны в папки сайтов

ну значит и ищите в сайтах дырки. если это CMS то возможно проблему уже

поднимали на сайте разработчика, если ваше, самопис, значит тоже должны знать

слабину.

я думал у вас выше залиты ...

M
На сайте с 15.03.2012
Offline
128
#8

сайты в которые залиты файлы - на разных движках, это уменьшает вероятность того что залили через дыры в сайтах

я никак не получу ответ по поводу того факта, что владелец залитых файлов - root. Если файл залит через дыру в сайте, разве может он иметь владельца root ?

pupseg
На сайте с 14.05.2010
Offline
364
#9

что у вас в папках /dev/shm

/var/tmp

/tmp

то, что владелец и группа (группа тоже?) рут - это плохо, цмс одно, но может быть и вовсе не цмс. ОС обновляете регулярно? какое ПО стоит на сервере?

Качественная помощь в обслуживании серверов. (/ru/forum/661100) Бесплатных консультаций не даю, не помогаю, не обучаю. Минималка от 100$. Как пропатчить KDE-просьба не спрашивать. Есть форумы (http://linux.org.ru) и полезные сайты (http://www.opennet.ru/).
Himiko
На сайте с 28.08.2008
Offline
560
#10

Какая бы дырявая CMS не была, "ходить" рутом возможности быть не должно.

Если получили root-доступ, то нужно смотреть дырявые пакеты/настройки на сервере.

Профессиональное администрирование серверов (https://systemintegra.ru). Круглосуточно. Отзывы (/ru/forum/834230) Лицензии (http://clck.ru/Qhf5) ISPManager,VDSManager,Billmanager e.t.c. по низким ценам.
12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий