Форум Сайтостроение Администрирование серверов

Друзья админы, поддержите советом.

ipreallyfire
На сайте с 29.08.2012
Offline
97
ipreallyfire
589

Вчера хетзнер прислал абузу, полученную от ValueHost.ru

в абузе сказано:

С Вашего IP периодически наблюдаются запросы к вредоносным скриптам на взломанных сайтах на нашем хостинге. Обращения идут к разным сайтам на разных серверах. Скорее всего, Ваш сайт или сервер также взломан и является частью ботнета.

Более подробной информацией мы не располагаем, к сожалению, т.к. всё с чем мы имеем дело - это обращения к сайтам, и в логах обращений пишется лишь та информация, которую мы прислали. На всякий случай продублирую ранее присланные выдержки из логов:

мой ип xn--80akpc6aze.xn--p1ai - [11/May/2014:10:09:29 +0400] "POST /components/com_content/views/archive/config.php HTTP/1.1" 200 462 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.7.6)"

мой ип xn--1-56-l6d.xn--p1ai - [10/May/2014:03:10:42 +0400] "POST /components/com_user/views/reset/tmpl/test.php HTTP/1.1" 200 462 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.7.6)"

мой ип maximus-arbalet.ru - [10/May/2014:21:54:27 +0400] "POST /modules/mod_junewsultra/elements/admin.php HTTP/1.1" 200 462 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.7.6)"

Пожалуйста, если у Вас появились какие-то дополнения к своему запросу, просто ответьте на это сообщение, не изменяя его заголовок.

Подскажите, что делать в этой ситуации? В какую сторону копать?

Всем спасибо за советы.

Форум танкистов и геймеров на 4cheat.ru (http://4cheat.ru) Магазин геймера на shop.4cheat.ru (http://shop.4cheat.ru)
Andreyka
На сайте с 19.02.2005
Offline
822
Andreyka
#1

Самое простое - закрыть исход и открывать по белому списку

Не стоит плодить сущности без необходимости
Den73
На сайте с 26.06.2010
Offline
523
Den73
#2

аналогично получили вчера

http://i.imgur.com/KbopKmu.png

нашли клиента, там ему залили файлики

/engine/api

db.php

db_connect.php

на мое удивление оно еще брутило юзеров от панели isp manager.

тс, посмотрите такие файлики у себя, но удаление их - это не решение проблемы, нужно устранять уязвимость которую эксплуатируют.

Ситуация с биллинг панелями Упал доход Хочу открыть хостинг. Что
ipreallyfire
На сайте с 29.08.2012
Offline
97
ipreallyfire
#3
Den73:
аналогично получили вчера

http://i.imgur.com/KbopKmu.png

нашли клиента, там ему залили файлики

/engine/api
db.php
db_connect.php

на мое удивление оно еще брутило юзеров от панели isp manager.
тс, посмотрите такие файлики у себя, но удаление их - это не решение проблемы, нужно устранять уязвимость которую эксплуатируют.

а не подскажете где найти эту уязвимость ? или может вы бы могли помочь разобраться?

можно ли вас попросить скинуть содержание этих файлов?

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий