А чего фиксить...., все логи обрыл,толком откуда дыра не нашёл. Скорее всего в ISP дыра и сидит.
В shadow есть хэшь пасса, так что пасс действительно поставили! Сам шелл /bin/sh но он вроде как по умолчанию у этого юзера.
В общем вернул пока пасс в пустоту, командой passwd -S www-data (из ISP юзер сразу убрался), копаем дальше.
Заметил такую особенность, при вводе в качестве логина в форме авторизации ISP manager например www-data или любого юзера без пасса: games, proxy, man и т.д. получаю ошибку "Request timeout to panel reached. Panel has not started yet."
Причём по логам ISP видно что панель после этого автоматом перегружается. Это у меня только так?
---------- Добавлено 30.07.2015 в 21:29 ----------
Andreyka: Чем дальше, тем интереснее
так так так, а поподробнее? знаком с багой видимо?
Armat1: За ночь опять на всех файлах штесс сделали мобильный редирект.
Пробовал права 555 для все файлов и 444 на штсс, но все равно как-то меняют.
Как этом вору удается?
Нужно смотреть логи сервера, вам в любом случае нужен специалист. Сами если не разбираетесь не справитесь. Наймите толкового сисадмина который найдёт дыру.
Как ни странно страницы в индексе в этот АП значительно подросли, после месяца выпада, с каждым апом резало и кромсало конкретно, начиная от 14 сентября, думал от моих 3-ёх многотысячных СДЛов и мокрого места не останется через 2-3 АПа. А в этот АП на всех сайтах прибавилось в индексе на каждом примерно по тысячи страниц. На самих сайтах особо ничего не менял кроме метрики, метрику везде грохнул ради эксперимента.
Мне тоже приходят такие письма, с эти же доменом. Уже написал вчера как самому Яндексу так и хостеру, и регистратору r01 о проблемном клиенте. Хостинг вчера прикрыли, но сегодня домен успешно переехал. Яндекс уже с сег. дня такие письма помечает как мошеннические. А вот с регистратором у меня началась переписка, посмотрим, что отпишут.
Полная Ж с каждым апом выкидывает по несколько тысяч страниц с трастовых сайтов, за месяц на одном новостном тематическом сайте (ТИЦ 40) порезало порядка 20 тыс. страниц, осталось 5 тыс, на другом (ТИЦ 350) порядка 8 тыс, осталось 8 тыс. (ровно половину выкинуло из индекса), на третьем (ТИЦ 300), было 15 тыс. осталось 9 тыс. страниц.
Такое чувство что яндекс начал жестокую борьбу с дублями, к примеру если есть страница с URL page.php?id=1 и page.php?id=1&comment=show, контент одинаковый, во втором случае на странице выведены комменты, - то одну из этих страниц яша выплюнет. Далее заметил что из индекса повыпадало куча страниц с версией для печати. С форумами похожая ситуация, кромсает страницы безжалостно.
У многих комрадов, поддерживающих крупные СДЛ похожая ситуация, страницы выплевывает.
Еще интересна ситуация с метрикой:
на тех сайтах где не стояла метрика вроде всё по прежнему, индекс как был так и есть, особо ничего не изменилось (либо выпало мало), там где метрика была обкромсало конкретно. Возможно это просто только в моём случае, не закономерность, не знаю как у других.
Возможно, но похоже баг именно в isp
логи nginx
193.169.86.16 - - [26/Jul/2015:07:48:06 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www-data&password=r4FOttG00OmT HTTP/1.0" 404 106 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:5.0) Gecko/20110619 Firefox/5.0"
193.169.86.16 - - [26/Jul/2015:07:48:08 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=nginx&password=r4FOttG00OmT HTTP/1.0" 200 514 "-" "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET
193.169.86.16 - - [26/Jul/2015:07:48:10 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www&password=r4FOttG00OmT HTTP/1.0" 200 512 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:5.0) Gecko/20100101 Firefox/5.0 FirePHP/0.5"
193.169.86.16 - - [26/Jul/2015:07:48:11 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=apache&password=r4FOttG00OmT HTTP/1.0" 200 515 "-" "Mozilla/5.0 (Windows NT 5.1; U; rv:5.0) Gecko/20100101 Firefox/5.0"
193.169.86.16 - - [26/Jul/2015:07:48:12 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=ftph8mi&password=gsplou5s HTTP/1.0" 200 516 "-" "Mozilla/5.0 (X11; U; Linux amd64; en-US; rv:5.0) Gecko/20110619 Firefox/5.0"
193.169.86.16 - - [26/Jul/2015:07:48:13 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www-data&password=r4FOttG00OmT HTTP/1.0" 404 106 "-" "Mozilla/5.0 (X11; Linux) Gecko Firefox/5.0"
193.169.86.16 - - [26/Jul/2015:07:48:17 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www-data&password=r4FOttG00OmT HTTP/1.0" 404 106 "-" "Opera/9.70 (Linux i686 ; U; en) Presto/2.2.0"
193.169.86.16 - - [26/Jul/2015:07:48:22 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=nginx&password=r4FOttG00OmT HTTP/1.0" 200 514 "-" "Mozilla/4.01 (compatible; MSIE 6.0; Windows NT 5.1)"
193.169.86.16 - - [26/Jul/2015:07:48:23 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www&password=r4FOttG00OmT HTTP/1.0" 200 512 "-" "Opera/9.64 (X11; Linux x86_64; U; pl) Presto/2.1.1"
193.169.86.16 - - [26/Jul/2015:07:48:24 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=apache&password=r4FOttG00OmT HTTP/1.0" 200 515 "-" "Mozilla/5.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)"
193.169.86.16 - - [26/Jul/2015:07:48:25 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=ftpy6u0&password=anc9y7fm HTTP/1.0" 200 516 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:5.0) Gecko/20100101 Firefox/5.0 Firefox/5.0"
92.53.96.84 - - [26/Jul/2015:07:48:35 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www-data&password=r4FOttG00OmT HTTP/1.0" 404 106 "-" "Opera/9.64 (X11; Linux x86_64; U; de) Presto/2.1.1"
92.53.96.84 - - [26/Jul/2015:07:48:39 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=nginx&password=r4FOttG00OmT HTTP/1.0" 200 514 "-" "Opera/9.80 (Windows NT 6.1; U; es-ES) Presto/2.9.181 Version/12.00"
92.53.96.84 - - [26/Jul/2015:07:48:41 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www&password=r4FOttG00OmT HTTP/1.0" 200 512 "-" "Opera/9.64 (X11; Linux i686; U; sv) Presto/2.1.1"
92.53.96.84 - - [26/Jul/2015:07:48:43 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=apache&password=r4FOttG00OmT HTTP/1.0" 200 515 "-" "Mozilla/5.0 (Windows; U; MSIE 9.0; Windows NT 9.0; en-US)"
92.53.96.84 - - [26/Jul/2015:07:48:45 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=ftpl9ka&password=rkv3xt47 HTTP/1.0" 200 516 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/535.1 (KHTML, like Gecko) Chrome/14.0.824.0 Safari/535.1"
31.*.*.* - - [26/Jul/2015:07:48:47 +0300] "GET /manager/ispmgr?out=json&name=www-data&passwd=r4FOttG00OmT&confirm=r4FOttG00OmT&func=usrparam&elid=www-data&sok=ok HTTP/1.0" 200 35 "-" "WordPress/3.0.1; http://la***ag.net"
92.53.96.84 - - [26/Jul/2015:07:48:47 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=www-data&password=r4FOttG00OmT HTTP/1.0" 200 90 "-" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/535.1 (KHTML, like Gecko) Chrome/14.0.801.0 Safari/535.1"
91.206.200.190 - - [26/Jul/2015:07:48:52 +0300] "GET /manager/ispmgr?func=auth&username=www-data&key=1006789fghfghfghfghfq2iu&out=xml HTTP/1.0" 200 517 "-" "Mozilla/5.0 (Windows NT 5.1; rv:2.0.1) Gecko/20100101 Firefox/5.0"
91.206.200.190 - - [26/Jul/2015:07:48:54 +0300] "GET /manager/ispmgr?out=xml&func=auth&username=nginx&password=r4FOttG00OmT HTTP/1.0" 200 479 "-" "Mozilla/5.0 (X11; Linux x86_64) Gecko Firefox/5.0"
31.*.*.* - - [26/Jul/2015:07:49:03 +0300] "GET /manager/ispmgr?out=json&func=session.newkey&username=www-data&key=1006789fghfghfghfghfgs8e HTTP/1.0" 200 32 "-" "WordPress/3.2.1; http://x***ka.ru"
91.206.200.190 - - [26/Jul/2015:07:49:03 +0300] "GET /manager/ispmgr?func=auth&username=www-data&key=1006789fghfghfghfghfgs8e&out=xml HTTP/1.0" 200 90 "-" "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET CLR 2.0.50727)"
Как раз в 07:48 были изменения в shadow и passwd
в message лог такая штука
Jul 26 07:48:05 *** kernel: [16964614.350594] ispmgr[7003]: segfault at 0 ip 00007f857f39d46a sp 00007f8575242588 error 4 in libc-2.19.so[7f857f30d000+19f000]
Jul 26 07:48:13 *** kernel: [16964622.043339] ispmgr[7076]: segfault at 0 ip 00007ff5e3ae346a sp 00007ff5d99a6588 error 4 in libc-2.19.so[7ff5e3a53000+19f000]
Jul 26 07:48:17 *** kernel: [16964625.621360] ispmgr[7120]: segfault at 0 ip 00007f659ed5b46a sp 00007f6598cf8588 error 4 in libc-2.19.so[7f659eccb000+19f000]
Jul 26 07:48:32 *** kernel: [16964641.373681] ispmgr[7206]: segfault at 0 ip 00007f407653146a sp 00007f4063ffe588 error 4 in libc-2.19.so[7f40764a1000+19f000]
Jul 26 07:48:34 *** kernel: [16964642.795030] ispmgr[7244]: segfault at 0 ip 00007f47d7d9546a sp 00007f47cdd1a588 error 4 in libc-2.19.so[7f47d7d05000+19f000]
В моменты этих ошибок происходит перезапуск ispmanager, возможно в момент перегруза, и возникновения ошибки прокатил такой GET запрос:
31.*.*.* Это айпишник моего сервака.
А чего фиксить...., все логи обрыл,толком откуда дыра не нашёл. Скорее всего в ISP дыра и сидит.
В shadow есть хэшь пасса, так что пасс действительно поставили! Сам шелл /bin/sh но он вроде как по умолчанию у этого юзера.
В общем вернул пока пасс в пустоту, командой passwd -S www-data (из ISP юзер сразу убрался), копаем дальше.
Заметил такую особенность, при вводе в качестве логина в форме авторизации ISP manager например www-data или любого юзера без пасса: games, proxy, man и т.д. получаю ошибку "Request timeout to panel reached. Panel has not started yet."
Причём по логам ISP видно что панель после этого автоматом перегружается. Это у меня только так?
---------- Добавлено 30.07.2015 в 21:29 ----------
Чем дальше, тем интереснее
так так так, а поподробнее? знаком с багой видимо?
Уже три случая, мне тоже 26-го числа на www-data установили пасс.
кусок лога
Jul 26 07:48:47 [ 7256:9] ^[[1;32mINFO Request [31.*.*.*][www-data] 'sok=ok&elid=www%2Ddata&func=usrparam&confirm=*&passwd=*&name=www%2Ddata&out=json'^[[0m Jul 26 07:48:47 [ 7256:10] ^[[1;32mINFO Request [92.53.96.84][nobody] 'password=*&username=www%2Ddata&func=auth&out=xml'^[[0m Jul 26 07:48:47 [ 7256:10] ^[[1;36mEXTINFO Execute (/usr/sbin/repquota -g -n /dev/mapper/vg0-root) return=0 exited^[[0m Jul 26 07:48:52 [ 7256:11] ^[[1;32mINFO Request [91.206.200.190][nobody] 'out=xml&key=1006*************iu&username=www%2Ddata&func=auth'^[[0m Jul 26 07:48:54 [ 7256:12] ^[[1;32mINFO Request [91.206.200.190][nobody] 'password=*&username=nginx&func=auth&out=xml'^[[0m Jul 26 07:48:56 [ 7256:13] ^[[1;32mINFO Request [91.206.200.190][nobody] 'password=*&username=www&func=auth&out=xml'^[[0m Jul 26 07:48:58 [ 7256:14] ^[[1;32mINFO Request [91.206.200.190][nobody] 'password=*&username=apache&func=auth&out=xml'^[[0m Jul 26 07:49:00 [ 7256:15] ^[[1;32mINFO Request [91.206.200.190][nobody] 'password=*&username=ftpk2mb&func=auth&out=xml'^[[0m Jul 26 07:49:03 [ 7256:16] ^[[1;36mEXTINFO Execute (/usr/sbin/repquota -g -n /dev/mapper/vg0-root) return=0 exited^[[0m Jul 26 07:49:03 [ 7256:16] ^[[1;32mINFO Request [31.*.*.*][www-data] 'key=1006**********gs8e&username=www%2Ddata&func=session%2Enewkey&out=json'^[[0m Jul 26 07:49:03 [ 7256:17] ^[[1;32mINFO Request [91.206.200.190][nobody] 'out=xml&key=10****************fgs8e&username=www%2Ddata&func=auth'^[[0m
Кто-нибудь разобрался где дыра?
За ночь опять на всех файлах штесс сделали мобильный редирект.
Пробовал права 555 для все файлов и 444 на штсс, но все равно как-то меняют.
Как этом вору удается?
Нужно смотреть логи сервера, вам в любом случае нужен специалист. Сами если не разбираетесь не справитесь. Наймите толкового сисадмина который найдёт дыру.
Как ни странно страницы в индексе в этот АП значительно подросли, после месяца выпада, с каждым апом резало и кромсало конкретно, начиная от 14 сентября, думал от моих 3-ёх многотысячных СДЛов и мокрого места не останется через 2-3 АПа. А в этот АП на всех сайтах прибавилось в индексе на каждом примерно по тысячи страниц. На самих сайтах особо ничего не менял кроме метрики, метрику везде грохнул ради эксперимента.
Мне тоже приходят такие письма, с эти же доменом. Уже написал вчера как самому Яндексу так и хостеру, и регистратору r01 о проблемном клиенте. Хостинг вчера прикрыли, но сегодня домен успешно переехал. Яндекс уже с сег. дня такие письма помечает как мошеннические. А вот с регистратором у меня началась переписка, посмотрим, что отпишут.
Полная Ж с каждым апом выкидывает по несколько тысяч страниц с трастовых сайтов, за месяц на одном новостном тематическом сайте (ТИЦ 40) порезало порядка 20 тыс. страниц, осталось 5 тыс, на другом (ТИЦ 350) порядка 8 тыс, осталось 8 тыс. (ровно половину выкинуло из индекса), на третьем (ТИЦ 300), было 15 тыс. осталось 9 тыс. страниц.
Такое чувство что яндекс начал жестокую борьбу с дублями, к примеру если есть страница с URL page.php?id=1 и page.php?id=1&comment=show, контент одинаковый, во втором случае на странице выведены комменты, - то одну из этих страниц яша выплюнет. Далее заметил что из индекса повыпадало куча страниц с версией для печати. С форумами похожая ситуация, кромсает страницы безжалостно.
У многих комрадов, поддерживающих крупные СДЛ похожая ситуация, страницы выплевывает.
Еще интересна ситуация с метрикой:
на тех сайтах где не стояла метрика вроде всё по прежнему, индекс как был так и есть, особо ничего не изменилось (либо выпало мало), там где метрика была обкромсало конкретно. Возможно это просто только в моём случае, не закономерность, не знаю как у других.
Этот АП не исключение, чистка продолжается.
Уважаемые!
Сколько ещё ждать? Когда закончиться данное издевательство?!
У меня висят уже 3 заявки:
#1612 07.02.2011
#1492 25.01.2011
#1375 12.01.2011
Когда будут выплаты?
То то я думаю платоны на письма вторую неделю не отвечают, но ничего пускай посидят там, отдохнут )