Stek: При чем тут мошенники ? Я на вопрос отвечал, как в бан в первую минуту попасть можно. Кстати овер9к коннекшенов и не надо, меня банили и за 3 неудачных попытки :)
Элементарно - неверно настроенный софт, непонятный софт в принципе, мы много раз сталкивались и сталкиваемся с аномальным поведением со стороны например total commander-a, пользуясь им клиенты иногда пытаются породить около 500 соединений с FTP к примеру, такие показатели по любым нормам не есть нормальными, а если вас забанило за 3 неверных пароля.... то скорее всего через час\два вы будете разбанены... ибо хранить ваш ИП вечность не имеет никакого смысла, да и накладно выйдет :D
Unlimin, Tсли хотели кинуть.... то в принципе нормальная схема, человек попользовался 1 минуту, как теперь сказать что услуга не была предоставлена ? а следом она была отключена за что-то непонятное как пишет ТС :)))) Но пруфов нет - нет информации... ждем скриншоты и прочее :D
rustelekom: Здравствуйте!
Всплывало нечто похожее (SSHD exploit). Там дело кончилось тем, что у админов серверов завелись кейлоггеры и это и было причиной всего остального. Вообще-то, есть тривиальный метод нахождения подобного рода проблем - сравнение контрольных сумм и учет изменений. Какой-нибудь tripwire (http://sourceforge.net/projects/tripwire/). Другое дело, что большинство забивает на это.
Дело в том, что в cPanel есть логика и методика которая уведомляет админов об изменениях контрольных сумм в ключевых файлах, при этом я так же добавлю что есть еще механизм Auto Update, который как бы не супер регулярно но все же периодически пересобирает апач, если это требуется.... По этому не совсем ясно на что нацелена атака, так как грубо говоря через неделю апач будет уже новой сборки....
---------- Добавлено 01.05.2013 в 21:06 ----------
Andreyka: Вообще то я еще четыре года назад видет как процесс апача творит чтото непонятное
Если проснифферить то на любой запрос он отдавал красный квадрат
При этом ОС никто не ломал - пробой был явно через апач
Народ , какая дырка ???? :))) Зараженные апачи !!!! На ранее взломанных машинах !!!! А дырка... это как бы от производителя софта.... :) Так что ли.. ;)
We also don’t have enough information to pinpoint how those servers are initially being hacked, but we are thinking through SSHD-based brute force attacks.
Доведу смысл может кто-то не понимает "Мы не располагаем информацией на тему как именно был взломан этот сервер но мы думаем, что это произошло через брутфорс атаки на SSH. "
А теперь по русски: Если вам взломали SSH получили root доступ .... только в 2000х годах хакер мог сделать "rm -rf / " и поржать дома у ПК :D Сегодня же куда интереснее поработить сервер и заставить его выполнять что-то для себя.... по этому хакер на стал убивать и даже трогать вашу систему, он скомпилил новый веб сервер который делает что-то для него и ушел....
Я лично пока не нашел пруфов, что это уязвимость апача, ssh-a, cpanel или чего либо другого, просто был выявлен факт того, что сервера с cPanel были заражены, но разве там написано что в исследование принимало участие 100 серверов с cPanel, 100 DirectADmin, 100 ... еще каких-то панелей, просто судя по тому что сказано, анализ проводился на серверах с cPanel, с таким же успехом я могу предполагать что у всех этих адресов оказался 1 админ который пропил свой пароль (http://www.securitylab.ru/news/439716.php) :D
/// Обновление
Только что проверил 10 серверов (2 из них вообще клиентские) путем предлагаемого примера:
grep -r open_tty /usr/local/apache/
Ни в одном из случаев не было позитивного поиска.
На всех установлена cPanel.
Кто-то из здешних с cPanel может подтвердить наличие бекдора у себя?
Добрый день,
Всех с наступившим Маем, темплым временем суток ))) и тому подобным :)
Рады сообщить о двух акциях которые пройдут в течении Мая месяца по нашим услугам:
1. Наша обычная ежемесячная акция, которая в этот раз предполагает скидку в размере 25% на услуги VIP хостинга.
Срок действия: 01.05.2013 - 31.05.2013
2. Акция с целью продвижения услуги файловое хранилище, весь Май, так же будет действовать 50% скидка.
Срок действия: 01.05.2013 - 31.05.2013
В обоих акциях скидка является постоянной !!!
Вы можете задавать свои вопросы в этой теме, с радостью ответим на любой из них.
С Уважением,
При чем тут мошенники ? Я на вопрос отвечал, как в бан в первую минуту попасть можно. Кстати овер9к коннекшенов и не надо, меня банили и за 3 неудачных попытки :)
Элементарно - неверно настроенный софт, непонятный софт в принципе, мы много раз сталкивались и сталкиваемся с аномальным поведением со стороны например total commander-a, пользуясь им клиенты иногда пытаются породить около 500 соединений с FTP к примеру, такие показатели по любым нормам не есть нормальными, а если вас забанило за 3 неверных пароля.... то скорее всего через час\два вы будете разбанены... ибо хранить ваш ИП вечность не имеет никакого смысла, да и накладно выйдет :D
mysql -D database_name -u user_name -p password < /home/myuser/myfile.sql
Попробуйте остановить службу dns и проверьте что будет
Если все не так как описал ТС ))) то умрут все домены через время :D Зачем так жестоко то? :)
Unlimin, Tсли хотели кинуть.... то в принципе нормальная схема, человек попользовался 1 минуту, как теперь сказать что услуга не была предоставлена ? а следом она была отключена за что-то непонятное как пишет ТС :)))) Но пруфов нет - нет информации... ждем скриншоты и прочее :D
Здравствуйте!
Всплывало нечто похожее (SSHD exploit). Там дело кончилось тем, что у админов серверов завелись кейлоггеры и это и было причиной всего остального. Вообще-то, есть тривиальный метод нахождения подобного рода проблем - сравнение контрольных сумм и учет изменений. Какой-нибудь tripwire (http://sourceforge.net/projects/tripwire/). Другое дело, что большинство забивает на это.
Дело в том, что в cPanel есть логика и методика которая уведомляет админов об изменениях контрольных сумм в ключевых файлах, при этом я так же добавлю что есть еще механизм Auto Update, который как бы не супер регулярно но все же периодически пересобирает апач, если это требуется.... По этому не совсем ясно на что нацелена атака, так как грубо говоря через неделю апач будет уже новой сборки....
---------- Добавлено 01.05.2013 в 21:06 ----------
Вообще то я еще четыре года назад видет как процесс апача творит чтото непонятное
Если проснифферить то на любой запрос он отдавал красный квадрат
При этом ОС никто не ломал - пробой был явно через апач
Потом вроде прошло. Неужели сейчас снова всплыло?
А ты специалиста по красным квадратам вызывал? :)
Народ , какая дырка ???? :))) Зараженные апачи !!!! На ранее взломанных машинах !!!! А дырка... это как бы от производителя софта.... :) Так что ли.. ;)
Таким образом можно заразить ВСЕ что угодно :D
Весь ответ заключается вот тут (собственно у источника создания паники :D ):
http://blog.sucuri.net/2013/04/apache-binary-backdoors-on-cpanel-based-servers.html
We also don’t have enough information to pinpoint how those servers are initially being hacked, but we are thinking through SSHD-based brute force attacks.
Доведу смысл может кто-то не понимает "Мы не располагаем информацией на тему как именно был взломан этот сервер но мы думаем, что это произошло через брутфорс атаки на SSH. "
А теперь по русски: Если вам взломали SSH получили root доступ .... только в 2000х годах хакер мог сделать "rm -rf / " и поржать дома у ПК :D Сегодня же куда интереснее поработить сервер и заставить его выполнять что-то для себя.... по этому хакер на стал убивать и даже трогать вашу систему, он скомпилил новый веб сервер который делает что-то для него и ушел....
Я лично пока не нашел пруфов, что это уязвимость апача, ssh-a, cpanel или чего либо другого, просто был выявлен факт того, что сервера с cPanel были заражены, но разве там написано что в исследование принимало участие 100 серверов с cPanel, 100 DirectADmin, 100 ... еще каких-то панелей, просто судя по тому что сказано, анализ проводился на серверах с cPanel, с таким же успехом я могу предполагать что у всех этих адресов оказался 1 админ который пропил свой пароль (http://www.securitylab.ru/news/439716.php) :D
/// Обновление
Только что проверил 10 серверов (2 из них вообще клиентские) путем предлагаемого примера:
grep -r open_tty /usr/local/apache/
Ни в одном из случаев не было позитивного поиска.
На всех установлена cPanel.
Кто-то из здешних с cPanel может подтвердить наличие бекдора у себя?
[ Беспрецедентная акция ]
Всю неделю начиная с 29.04.2013 и заканчивая 06.05.2013 включительно тариф VIP-S4 будет распродаваться с 50% скидкой (т.е 10$ / месяц).
10 Гигабайт места, 300 Гигабайт трафика, чудесный тариф за свои деньги.
Еженедельное копирование данных на наш сторедж, выделенный IP адрес, а так же много других вкусностей при работе с нами :D
Все вновь зарегистрированные клиенты будут пользоваться тарифом за пол цены все время пользования услугой, скидка является постоянной.
Не упусти свой шанс, регистрируйся уже сейчас!
По моему публиковать графы MRGT по клиентам это слегка перебор, не находите? :(