- Поисковые системы
- Практика оптимизации
- Трафик для сайтов
- Монетизация сайтов
- Сайтостроение
- Социальный Маркетинг
- Общение профессионалов
- Биржа и продажа
- Финансовые объявления
- Работа на постоянной основе
- Сайты - покупка, продажа
- Соцсети: страницы, группы, приложения
- Сайты без доменов
- Трафик, тизерная и баннерная реклама
- Продажа, оценка, регистрация доменов
- Ссылки - обмен, покупка, продажа
- Программы и скрипты
- Размещение статей
- Инфопродукты
- Прочие цифровые товары
- Работа и услуги для вебмастера
- Оптимизация, продвижение и аудит
- Ведение рекламных кампаний
- Услуги в области SMM
- Программирование
- Администрирование серверов и сайтов
- Прокси, ВПН, анонимайзеры, IP
- Платное обучение, вебинары
- Регистрация в каталогах
- Копирайтинг, переводы
- Дизайн
- Usability: консультации и аудит
- Изготовление сайтов
- Наполнение сайтов
- Прочие услуги
- Не про работу
Как удалить плохие SEO-ссылки и очистить ссылочную массу сайта
Применяем отклонение ссылок
Сервис Rookee
Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий
В логах появились непонятные GET /w00tw00t.at.ISC.SANS.DFind:)
Потом нашёл в /home новую папку tmp в которой какие-то базы. Удалил её.
Траф целый день шёл по максимуму забивая весь канал. Установил lfd - траф пошёл на спад.
Вход был явно через root потому что только он имеет shell доступ.
Что сделать кроме смены паролей на root?
Чужих ключей в /root/.ssh не нашёл так что тут удалять нечего.
Я не специалист по взломам, но скажу одну вещь - всегда разрешайте доступ по ssh лишь своим IP. Если же это невозможно по причине
динамического адресса, хотябы убирайте ssh со стандартного порта, устанавливайте сложный пароль, а также ставьте защиту от перебора паролей - fail2ban
А так, как вариант посмотрите историю history, возможно были выкачены какие-то файлы из вне и помещены в директории сайтов...
И да, пароли на FTP, MySQL и почту также следует поменять. Не стоит забывать и про админки сайтов.
Зря удалил
Надо было смотреть с какими правами создали
1. разрешить доступ к FTP, SSH только со своих IP
2. просканировать свой сервер с другого сервера с помощью nmap, посмотреть какие порты открыты. Не нужные закрыть.
3. Запретить пользователю WWW писать во все папки, за исключением тех где необходимо для работы сайта.
4. В папке где может писать пользователь WWW запретить выполнять скрипты.
5. Сделать поиск скриптов во всех папках со статикой сайта. Возможно там есть шеллы.
6. Запретить в mysql файловые функции.
На всякий случай можно поставить rkhunter и им проверить.
потер......
еще удостоверится, что только рут имеет шелл доступ а не какой-нибудь еще юзер неожиданно.
cat /etc/passwd | grep '/bin/bash'
grey2Просканируйтесь вот этим: http://www.revisium.com/ai/
Чтобы ограничить непонятные запросы:
iptables -I INPUT -p tcp --dport 80 -m string --to 60 --algo bm --string 'GET /w00tw00t' -j DROP
В остальном присоединяюсь к рекомендациям zexis
крон проверь еще
в .htaccess строчку добавь
после взлома сервера нужно переустанавливать систему
никакие проверки и зачистки не дадут 100% гарантии если злоумышленник получил root..