Концы тянутся к 30.12-01.01 числам, увы логов уже не сохранилось. В эти числа были залиты бэкдоры, в системные файлы движка, тем и плагинов WP. Найти их у себя можно выполнив запрос в SSH:
find -name "*.php" -exec grep -bH " " {} \;
(в первой строчке куча пробелов, после которых идет обфусцированный код).
В сегодняшних логах замечено следующее: 3-4 подряд post запроса. Первый - к залитому ранее дору (папка doc,journal и т.п.). В ответ 404. Следующий - к залитому ранее шеллу (exist.php и т.п. в корне) - ответ 404. И тогда уже к закладке залитой в указанные числа. После чего восстанавливается шелл в корне и всё начинается заново.
Что интересно. Свежий шелл создаётся с отличными от остальных файлов правами и от пользователя апач. Поэтому легко найти через ssh:
find -name "*.php" -user "apache"
find -name "*.ico" -user "apache"
Однако, что интересно - залитые в новый год закладки имеют права 777 и главное - пользователя root. Что хреновые мысли навевает по поводу источника заразы. Пароль рута сменил, ключ ssh ТП грохнул, хотя там в логах и чисто везде.
Это было бы слишком просто. Не мой случай. Ломают даже голую "twentytwelve" на голом свежеобновлённом WP. За пару часов. Включил логирование POST запросов - шлётся некая белиберда к index.php вот такого вида:
Вероятно (не факт, т.к. время создания файла меняется) именно после этого в корне сайта появляется зловред - бэкдор, к которому идут уже другие пост запросы и закладки рассовываются по файлам. В общем уязвимость где-то на стыке апача (т.к. обнаружились незатёртые файлы сессий в папке php-tmp c <php echo "test"; ?> внутри) и WP. Пока не выяснил где именно.
У меня другая мысль появилась - ну это же идеальный хонейпот. Я отловил всего около 15 ip адресов, с которых идёт управление бэкдорами на моих сайтах. IP сейчас не дешевые, неужели никто централизованно/промышленно не борется с ботнетами отправляя их ип в бан? CloudFlare как оказалось пропускает их, зато мой динамический ип билайна всегда выхватывает их капчу.
То же самое: firstvds + centos. Куча сайтов на WP - каждый под своим пользователем. Все поломаны - в корне xml.php и куча зашифрованных php скриптов по папкам. Файлы зловредов создаются от пользователя apache. Задолбался вычищать уже. Несмотря на принятые заранее меры: чистый свежий WP, отключенный ftp, дополнительную авторизацию на файлы wp-login.php (через апач), удалённый xmlrpc.php...
Есть подозрение, что заливается каким-то (каким???) образом файл в mod-tmp (следы есть) и оттуда уже ползёт зараза дальше. Проверьте у кого такой же взлом.
При этом - есть пользователи, под которыми крутятся сайты без CMS, ну или на самописе - там чисто. Есть юзеры с файлами wp, но дропнутыми доменами, т.е. условно недоступными снаружи - тоже чисто.
Из чего делаю вывод - что ломают конкретно WP. Извне.
Разобрался кто с источником заразы?
---------- Добавлено 10.01.2018 в 16:59 ----------
ProGrafika: Советую посмотреть в базу данных скрытых пользователей. Возможно один из пользователей не ваш. На данный момент чищу сайт с похожими симптомами, а база это то место где ищут редко и сканерами особо не проанализируешь, только свои скрипты и ручная работа.
intd: Яндекс хочет что бы все владельцы небольших площадок были альтруистами. Ему это удается. Куча небольших сайтов еще имеют не плохую посещаемость в своей нише, но часть из них уже не обновляются. Особенно в туристической тематике. ФБ, сул и т.п. скромно так у каждого сайта забирают 500-1000 посетителей с Яндекса в день, владельцы видят что конкурировать с ними бесполезно, перестают наполнять качественные статьями.
Увы, так и есть. Хотя, справедливости ради, самый главный гвоздь в гроб площадок любителей был забит не fb|kakprosto|syl, но баном со стороны ПС всех альтернативных контексту способов монетизации (ссылки, статьи, тизеры, платные архивы и всё остальное). А потом и контекст провалился на дно по доходности (и это при увеличении посещалки).
, то точно не с промальпа начинать надо. Если уж за стройку заговорили - в подсобники на пару месяцев, т.к. много нюансов. Да и может оказаться, что "не моё"
OlegVP: Можете назвать несколько направлений деятельности не связанных с онлайном. Я не могу себе это представить.
Да сколько угодно их. В моём случае - монтаж гелиосистем (коллекторы, солнечные панели, их завязки с отоплением и автоматизация всего этого барахла). И вообще любая работа на стройке, отличная от "бери больше, кидай дальше", требующая хотя бы зачатков извилин, хорошо оплачивается. Промальп особо.
В инете работаю (фриланс+на себя) с 2004 года. Разработка сайтов клиентам, продвижение (когда это было просто), программинг пхп и асп, доработки. Даже саттелито-генераторы писал. Прошел почти всё - от доргенов и клоакинга через ссылкоторговлю, арбитраж и тизеры к контексту.
Всё тлен. 8К хостов в 2006м приносили ощутимые деньги в РСЯ, сейчас - 12К того же траффика в РСЯ же - копейки на хостинг. Про остальное уже молчу.
В итоге, основной доход всё так же, как и в самом начале, приносит деятельность, далекая от онлайна. Однако клиентов нахожу через свой сайт. В итоге все эти знания, опыт оказались только потерей времени. 15 лет, да.
99% доменов дропнул, стал больше времени заниматься офлайном, доход увеличился, свободное время тоже.
Перспектив в старорежимных способах якобы "пассивного" заработка (контекст, статейники, доры, партнёрки) больше не вижу.
Перспективы есть в оффлайне, если вы, в своей локальной местности, можете предоставить эксклюзивную услугу или услугу высочайшего качества.
Сижу, никого не трогаю, примус сайты починяю.
Концы тянутся к 30.12-01.01 числам, увы логов уже не сохранилось. В эти числа были залиты бэкдоры, в системные файлы движка, тем и плагинов WP. Найти их у себя можно выполнив запрос в SSH:
find -name "*.php" -exec grep -bH " " {} \;(в первой строчке куча пробелов, после которых идет обфусцированный код).
В сегодняшних логах замечено следующее: 3-4 подряд post запроса. Первый - к залитому ранее дору (папка doc,journal и т.п.). В ответ 404. Следующий - к залитому ранее шеллу (exist.php и т.п. в корне) - ответ 404. И тогда уже к закладке залитой в указанные числа. После чего восстанавливается шелл в корне и всё начинается заново.
Что интересно. Свежий шелл создаётся с отличными от остальных файлов правами и от пользователя апач. Поэтому легко найти через ssh:
Однако, что интересно - залитые в новый год закладки имеют права 777 и главное - пользователя root. Что хреновые мысли навевает по поводу источника заразы. Пароль рута сменил, ключ ssh ТП грохнул, хотя там в логах и чисто везде.
Пока всё почистил, 2 часа тихо. Наблюдаем.
В "бесплатных" темах и плагинах с помоек.
Это было бы слишком просто. Не мой случай. Ломают даже голую "twentytwelve" на голом свежеобновлённом WP. За пару часов. Включил логирование POST запросов - шлётся некая белиберда к index.php вот такого вида:
Или вот такая:
Вероятно (не факт, т.к. время создания файла меняется) именно после этого в корне сайта появляется зловред - бэкдор, к которому идут уже другие пост запросы и закладки рассовываются по файлам. В общем уязвимость где-то на стыке апача (т.к. обнаружились незатёртые файлы сессий в папке php-tmp c <php echo "test"; ?> внутри) и WP. Пока не выяснил где именно.
У меня другая мысль появилась - ну это же идеальный хонейпот. Я отловил всего около 15 ip адресов, с которых идёт управление бэкдорами на моих сайтах. IP сейчас не дешевые, неужели никто централизованно/промышленно не борется с ботнетами отправляя их ип в бан? CloudFlare как оказалось пропускает их, зато мой динамический ип билайна всегда выхватывает их капчу.
То же самое: firstvds + centos. Куча сайтов на WP - каждый под своим пользователем. Все поломаны - в корне xml.php и куча зашифрованных php скриптов по папкам. Файлы зловредов создаются от пользователя apache. Задолбался вычищать уже. Несмотря на принятые заранее меры: чистый свежий WP, отключенный ftp, дополнительную авторизацию на файлы wp-login.php (через апач), удалённый xmlrpc.php...
Есть подозрение, что заливается каким-то (каким???) образом файл в mod-tmp (следы есть) и оттуда уже ползёт зараза дальше. Проверьте у кого такой же взлом.
При этом - есть пользователи, под которыми крутятся сайты без CMS, ну или на самописе - там чисто. Есть юзеры с файлами wp, но дропнутыми доменами, т.е. условно недоступными снаружи - тоже чисто.
Из чего делаю вывод - что ломают конкретно WP. Извне.
Разобрался кто с источником заразы?
---------- Добавлено 10.01.2018 в 16:59 ----------
Советую посмотреть в базу данных скрытых пользователей. Возможно один из пользователей не ваш. На данный момент чищу сайт с похожими симптомами, а база это то место где ищут редко и сканерами особо не проанализируешь, только свои скрипты и ручная работа.
Спасибо, почистил - искать по нику "Service"
Но вопрос открыт - где дырка?
Сегодня было новое (18-е заседание).
Охренеть, такой чушью столько времени занимается наша Фемида. Тут не так давно был в суде по тяжким телесным, так за час-полтора всё закончилось.
Ingvarr, скорейшего завершения этого бреда
Яндекс хочет что бы все владельцы небольших площадок были альтруистами. Ему это удается. Куча небольших сайтов еще имеют не плохую посещаемость в своей нише, но часть из них уже не обновляются. Особенно в туристической тематике. ФБ, сул и т.п. скромно так у каждого сайта забирают 500-1000 посетителей с Яндекса в день, владельцы видят что конкурировать с ними бесполезно, перестают наполнять качественные статьями.
Увы, так и есть. Хотя, справедливости ради, самый главный гвоздь в гроб площадок любителей был забит не fb|kakprosto|syl, но баном со стороны ПС всех альтернативных контексту способов монетизации (ссылки, статьи, тизеры, платные архивы и всё остальное). А потом и контекст провалился на дно по доходности (и это при увеличении посещалки).
Если
Руками делать ничего не умею
Можете назвать несколько направлений деятельности не связанных с онлайном. Я не могу себе это представить.
Да сколько угодно их. В моём случае - монтаж гелиосистем (коллекторы, солнечные панели, их завязки с отоплением и автоматизация всего этого барахла). И вообще любая работа на стройке, отличная от "бери больше, кидай дальше", требующая хотя бы зачатков извилин, хорошо оплачивается. Промальп особо.
Примерно похожая ситуация.
В инете работаю (фриланс+на себя) с 2004 года. Разработка сайтов клиентам, продвижение (когда это было просто), программинг пхп и асп, доработки. Даже саттелито-генераторы писал. Прошел почти всё - от доргенов и клоакинга через ссылкоторговлю, арбитраж и тизеры к контексту.
Всё тлен. 8К хостов в 2006м приносили ощутимые деньги в РСЯ, сейчас - 12К того же траффика в РСЯ же - копейки на хостинг. Про остальное уже молчу.
В итоге, основной доход всё так же, как и в самом начале, приносит деятельность, далекая от онлайна. Однако клиентов нахожу через свой сайт. В итоге все эти знания, опыт оказались только потерей времени. 15 лет, да.
99% доменов дропнул, стал больше времени заниматься офлайном, доход увеличился, свободное время тоже.
Перспектив в старорежимных способах якобы "пассивного" заработка (контекст, статейники, доры, партнёрки) больше не вижу.
Перспективы есть в оффлайне, если вы, в своей локальной местности, можете предоставить эксклюзивную услугу или услугу высочайшего качества.
Все до кучи. Попробую растащить.
1. Мышление невозможно без второй сигнальной системы - это так.
Вопрос в том, считаем ли мы вторую сигнальную систему тождественной языку? Куда тогда засунем "образное мышление", где образ не равен словам?
Хорошо, зайдем с другой стороны, раз никто так и не ответил, откуда появилась сама мысль, что язык первичен над интеллектом.
Тест IQ:
Какими словами вы приходите к верному ответу?
ЗЫ. Тест состоит из таких картинок чуть больше, чем полностью, при этом он, в общем, является общепринятым методом определения интеллекта.