- Поисковые системы
- Практика оптимизации
- Трафик для сайтов
- Монетизация сайтов
- Сайтостроение
- Социальный Маркетинг
- Общение профессионалов
- Биржа и продажа
- Финансовые объявления
- Работа на постоянной основе
- Сайты - покупка, продажа
- Соцсети: страницы, группы, приложения
- Сайты без доменов
- Трафик, тизерная и баннерная реклама
- Продажа, оценка, регистрация доменов
- Ссылки - обмен, покупка, продажа
- Программы и скрипты
- Размещение статей
- Инфопродукты
- Прочие цифровые товары
- Работа и услуги для вебмастера
- Оптимизация, продвижение и аудит
- Ведение рекламных кампаний
- Услуги в области SMM
- Программирование
- Администрирование серверов и сайтов
- Прокси, ВПН, анонимайзеры, IP
- Платное обучение, вебинары
- Регистрация в каталогах
- Копирайтинг, переводы
- Дизайн
- Usability: консультации и аудит
- Изготовление сайтов
- Наполнение сайтов
- Прочие услуги
- Не про работу
В 2023 году Одноклассники пресекли более 9 млн подозрительных входов в учетные записи
И выявили более 7 млн подозрительных пользователей
Оксана Мамчуева
Что делать, если ваша email-рассылка попала в спам
10 распространенных причин и решений
Екатерина Ткаченко
Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий
Дебиан, обновления установлены.
fail2ban - стоит.
IP для входа на ФТП пишем руками.
SSH не на 22 порту.
Вчера хетцнер прислал:
We regret to inform you that your server with the IP address mentioned in the above subject line has carried out an attack on another server.
As a result, this has placed a considerable strain on network resources and consequently a segment of our network has been very adversely affected.
Direction OUT
Internal *.*.*.*
Threshold Flows 100 flows/s
Sum 30.219 flows/300s (100 flows/s), 38.274.000 packets/300s (127.580
packets/s), 2,193 GByte/300s (59 MBit/s)
External 159.45.66.55, 30.202 flows/300s (100 flows/s), 38.230.000
packets/300s (127.433 packets/s), 2,136 GByte/300s (58 MBit/s)
External 92.113.178.243, 7 flows/300s (0 flows/s), 32.000 packets/300s (106
packets/s), 0,042 GByte/300s (1 MBit/s)
External 37.52.4.34, 5 flows/300s (0 flows/s), 7.000 packets/300s (23
packets/s), 0,009 GByte/300s (0 MBit/s)
=========
Сделали:
1) Найдены подозрительные файлы, аккаунты отключены:
============================================
Здесь какие-то странные файлы
/home/******/domains/******.ru/htdocs/tmp
В частности
stext.txt с дадой изменения час 20 ночи сегодня (24 числа этого файла не было, и пхпшных тоже)
x.txt с датой изменения 29 января и текстом hacked by Hmei7
За последние 30 дней изменены эти файлы:
./******/domains/******.ru/htdocs/tmp/cbmf.php от 26 марта
./******/domains/******.ru/htdocs/tmp/php.class.php от 26 марта
./******/domains/******.ru/htdocs/tmp/tmpe.php от 27 марта
----------------------
Здесь от 25 марта какойто кодированный файл.
/home/******1/domains/******1.ru/htdocs/UserFiles/mail.php
Раскодировал - внутри какой-то генератор ссылок.
Вообще здесь движок какой-то битый, т.к. загружены ещё какие-то пхп файлы в декабре прошлого года. Файлы похожи на какие-то тестовые, в них запросы к ютьюбу
============================================
2) В фаерволе оставлены открытыми только следующие порты:
ssh, ftp, http and smtp, причем запросить с самого сервера по http нельзя.
Основная масса сайтов на нашем движке, вероятность взлома - минимальна.
Несколько phpBB от 2007-2009 гг. без покупных тем и какие-то сайты на вордпрессе не очень свежем. По поводу темам на вордпрессах пока не уточняли
На сайтах, на которых найдены подозрительные файлы, стоит что-то не очень знакомое, но с ними разберемся.
============================================
Сейчас пишем хетцнеру о проделанной работе, сервер наверное включат. Но... Заразу то мы со 100% определенностью так и не нашли... Что еще можно и нужно сделать?
1. от какого пользователя созданы файлы ?
2. как работает апач для сайтов ? ( mod_php, CGI, FastCGI )
3. была ли проверка автоматикой ? ( maldet, avg, clamav )
4. полностью ли обновления система и движки сайтов ?
5. выставлены ли верные права на каталоги и файлы ?
6. висит ли что-нибудь в процессах или подключениях ? ( ps aux , netstat -antu )
В любом случае для подобных работ требуется привлекать специалистов, так как нюансов море, потому что вы избавились не от заразы, а от ее последствий.
Для начала уточнить и выяснить порт на который шла атака
Затем закрыть его и поставить логирование с алертом
Для начала уточнить и выяснить порт на который шла атака
Затем закрыть его и поставить логирование с алертом
порт не выяснить. кроме лога в первом сообщении ДЦ инфы не дает.
Тогда закрыть все и мониторить.
Заразу то мы со 100% определенностью так и не нашли... Что еще можно и нужно сделать?
Для того чтобы в будущем избегать проблем, настройте исходящий траф в iptables таким образом что бы не попадать под фильтр ДЦ - и ищите проблему.
Как найдите, так и отключайте ограничения.
1. от какого пользователя созданы файлы ?
2. как работает апач для сайтов ? ( mod_php, CGI, FastCGI )
3. была ли проверка автоматикой ? ( maldet, avg, clamav )
4. полностью ли обновления система и движки сайтов ?
5. выставлены ли верные права на каталоги и файлы ?
6. висит ли что-нибудь в процессах или подключениях ? ( ps aux , netstat -antu )
Элементарные вещи то мы естественно сделали.
Обновить движки клиентских сайтов - это как?
Естественно в процессах ничего не висит. Если бы висело, то разобрались бы и с дебаггером.
Тогда закрыть все и мониторить.
2) В фаерволе оставлены открытыми только следующие порты:
ssh, ftp, http and smtp, причем запросить с самого сервера по http нельзя.
Без этих открытых портов не будут работать сайты вообще, остальное закрыли.
Плюс в нагиосе поставили смс уведомления при превышении трафика больше 5 мбит/сек. Не исключаю, что поставим в нем автоматическое отрубание сервака при 10 или 15 мбит/сек, если не найдем вариантов решения проблемы.
Вы не путаете входящие и исходящие?
Для того чтобы в будущем избегать проблем, настройте исходящий траф в iptables таким образом что бы не попадать под фильтр ДЦ - и ищите проблему.
Как найдите, так и отключайте ограничения.
Осознание данной фразы вызывает у нас проблему:). Как можно обойти маршрутизатор ДЦ?
---------- Добавлено 29.03.2013 в 15:30 ----------
Вы не путаете входящие и исходящие?
Не думаю, что путаем. Хотя конкретикой занимается админ, т.к. я знаком только с теорией.
---------- Добавлено 29.03.2013 в 15:39 ----------
1. от какого пользователя созданы файлы ?
Кстати, админ попросил сказать "спасибо", т.к.
=======
www-data, значит заливались через дыру в сайте
=======
Осознание данной фразы вызывает у нас проблему:). Как можно обойти маршрутизатор ДЦ?
Проблема в вас, и вы её можете от себя ограничить, до маршрутизатора. Который снимает трафик с вас.
Кстати, админ попросил сказать "спасибо", т.к.
=======
www-data, значит заливались через дыру в сайте
=======
apache itk поставьте.
Проблема в вас, и вы её можете от себя ограничить, до маршрутизатора. Который снимает трафик с вас.
Не понял... Сайты при этом будут работать или нет?
Атака на Wells Fargo конкретно с нас шла в пределах часа, судя по всплеску на статистике нагиоса. Нам надо подождать с неработающими сайтами, когда кто-то попробует активизировать дыру до следующей атаки?
А если (да и скорее всего так) оно активизируется только через дырявый движок какого-нибудь сайта, то ее вообще не активизируют при неработающих сайтах...
Т.е. я не понял, что надо добавить к тому, что уже предпринято?