Заблокировали сервер из-за атаки, что делать?

пишите заявление что бы ип разблокировали.

....

хотя нет, берите ip-kvm и устраняйте проблему а после уже заявление.

попробуйте найти другой саппорт который найдет источник и устранит проблему, reinstall нужен только если систему похекали.

"Честно говоря я вообще ошарашен, что через сайт, может нарушится целостность системы, тем более если речь идет о linux..."

а если в вашем сайте лежит ддосилка и заливает чей то сервер?

Перенести крупные сайты на отдельные сервера, по одному сайту на сервер. Чтоб взлом одного сайта не приводил к проблемам с другими.

жестко, каждому сайту по серверу.

вполне достаточно по юзеру на 1 сервере.

А всякая фигня типа local privilege escalation?

Так и есть, на каждый сайт по юзеру...

Только что это дает?

IP уже не разблокируют.

Вчера также заблокировали IP, поддержка прогнала антивирусом, нашла скрипты и удалила их.

Отдали в ДЦ запрос, что проблема устранена.

После этого хрень повторилась, и в ДЦ сказали однозначно, что разблокировки не будет до полного решения проблемы...

А ip-kvm мне ни к чему, я все равно с этим ничего не сделаю.

На счет ддодсилки, так и есть, я просто не могу понять, она где лежит, в одной из папок одного из сайтов под одним из юзеров, или как мне говорят, уже залезла в системные папки?

У меня просто нет инструментов никаких. Например, я бы мог глушить (удалять/переименовывать) по одному пользователю, но после каждой такой процедуры мне как-то надо понять, прекратилась ли атака, а как?

Данные можно скопировать на внутренний сервер бекапов Hetzner, через KVM. Оттуда можно стянуть на любой сервер в Hetzner.

По поводу - где искать. Скорее всего создан пользователь и от него залиты скрипты. Видел недавно залили через MySQL, в диру /var/tmp

Если можно через сайт залить что угодно в фактически в корень системы, тогда не понимаю, в чем защищенность линукса. Сам работаю и на mac os и на линкс, иногда на винде, но мне казалось что на линуксе такие фокусы не должны проходить, за что его вероятно и выбирают на серваки...

Некоторые умельцы могут запустить сервер под рутом или поставить ugoa+rwx на папки/файлы или что-то в таком духе.

---------- Добавлено 20.09.2012 в 00:42 ----------

Вообще если было заражение, то сервер надо сносить и по новой накатывать. Исходники тоже брать из бекапов.

ТС запретить в фаерволе исходящие соединения. и смотреть в разных логах ошибок кто куда стучался.

Ай нормально сервер может жить и когда все от рута работает ))) удобно.

Вот короче что ответили в поддержке в итоге

Попросил вырубить исходящее соединение и включить сервер... Страшно, а что еще делать?

И как искать заразу?

Какие есть инструменты есть лично у меня?

Я готов сам глушить по очереди сайты, и проверять прекратилась ли атака, но какими инструментами это все делать....