Вот очень неплохая статья
http://me.miralab.ru/2007/11/21/sostavlyaem-semanticheskoe-yadro/
Спасибо за анализ. Скрипт партнерки стоит DIAMONDELECTRIC.ru, но на другом айпишнике. По тому IP соотношение трафика 1:10. Да и не такая большая посещаемость у сайта со скриптом чтобы сгенерить 3 гб левого исходящего трафика.
На IP где перекос нет таких партнерских скриптом, все картинки, инфориация, стили грузятся непосредственно с жеского диска сервера.
Выслал в личку четырьмя сообщениями, текст длинный получился а на личке ограничение 5 тыс символов за раз.
Там много очень, несколько экранов, начало:
# sockstat
USER COMMAND PID FD PROTO LOCAL ADDRESS FOREIGN ADDRESS
mail exim 57975 4 udp4 89.108.*.*:63904 89.108.90.129:53
mail exim 57975 5 tcp4 89.108.*.*:25 82.83.160.243:52952
mail exim 57975 6 tcp4 89.108.*.*:25 82.83.160.243:52952
mail exim 57974 5 tcp4 89.108.*.*:25 85.107.214.247:53463
mail exim 57974 6 tcp4 89.108.*.*:25 85.107.214.247:53463
apache httpd 57970 4 tcp4 89.108.*.*:80 83.149.32.58:50666
apache httpd 57970 206tcp4 *:443 *:*
apache httpd 57970 207tcp4 *:80 *:*
apache httpd 57969 4 tcp4 89.108.*.*:80 38.99.13.124:34828
apache httpd 57969 5 tcp4 89.108.*.*:57157 81.176.230.176:80
apache httpd 57969 206tcp4 *:443 *:*
...................................................................
конец:
mysql mysqld 639 195stream /tmp/mysql.sock
mysql mysqld 639 208stream /tmp/mysql.sock
mysql mysqld 639 236stream /tmp/mysql.sock
nobody directadmi 603 0 tcp4 *:2222 *:*
root vm-pop3d 569 0 tcp4 *:110 *:*
mail exim 534 3 tcp4 *:25 *:*
mail exim 534 4 tcp4 *:587 *:*
root sshd 389 3 tcp6 *:22 *:*
root sshd 389 4 tcp4 *:22 *:*
root syslogd 275 3 dgram /var/run/log
root syslogd 275 4 dgram /var/run/logpriv
root syslogd 275 5 udp6 *:514 *:*
root syslogd 275 6 udp4 *:514 *:*
root devd 257 4 stream /var/run/devd.pipe
Нет, по крону точно ничего нет. Это самая первая мысль была, все скрипты по крону запускаемые давно отключены и сервер перезагружен чтобы уж точно убить все процессы левые.
Да, freebsd
# sockstat | grep 64456
root tcpdump 23749 5 udp4 89.108.*.*:64456 89.108.90.*:53
Что-то вообще мало информации в этом ответе.
# lsof -i
lsof: Command not found.
Не работает, выводит помощь к этой команде.
А можно подробнее что означают эти данные?
По команде
# tcpdump -i fxp0 -n dst host 64.124.222
Выдается что-то типа:
22:06:21.328263 IP 89.108.*.*.55404 > 64.124.222.*.80: R 1260858823:1260858823(0) win 0
22:06:21.510952 IP 89.108.*.*.55477 > 64.124.222.*.80: P 34:57(23) ack 1 win 33304 <nop,nop,timestamp 114249412 2049869011>
По команде netstat -n выводит:
tcp4 47247 0 89.108.*.*.62206 64.124.222.*.80 CLOSE_WAIT
tcp4 0 0 89.108.*.*.62651 64.124.222.*.80 ESTABLISHED
tcp4 0 0 89.108.*.*.62649 64.124.222.*.80 ESTABLISHED
Для меня это китайская грамота, подскажите подажуйста куда смотреть
Все расписано красиво, но это зачем? Наводит на всякие мысли о троянах в архиве.
На агаве тоже цены на некоторые серверы подняли процентов на 15. Куда катится эта страна...
Знакомый видимо просто прикололся, хотя 1 апреля еще не скоро
