Форум русскоязычного сообщества Ubuntu

Пожалуйста, войдите или зарегистрируйтесь.

Получить помощь и пообщаться с другими пользователями Ubuntu можно
на irc канале #ubuntu-ru в сети Freenode
и в Jabber конференции ubuntu@conference.jabber.ru

« предыдущая тема следующая тема »
Страницы: [1]   Вниз

Автор Тема: Взломали сервер  (Прочитано 2108 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн intervision

  • Автор темы
  • Активист
  • *
  • Сообщений: 312
  • Только тяжелая музыка
    • Просмотр профиля
    • Сумеречное Радио
Взломали сервер
« : 24 Июля 2011, 16:36:29 »
уже давно стали загружать проц какие то процессы PERL

а пару дней назад еще и обнаружил процесс eggdrop который так же грузит проц...

одновременно с этим событием пришло на админское мыло письмо такого содержания

(Нажмите, чтобы показать/скрыть)

в системе явно что то сидит, вот только что именно и как это удалить я не знаю к сожалению....

очень прошу помочь очистить серв (крайне желательно без рекомендаций все снести и поставить заново)


на текущий момент сделано следующее:

был исправлен конфиг апача на запрет запуска perl и cgi скриптов
были выставлены права на /usr/lib/perl в 000
был изменен рут пароль

убедительная просьба дать еще советов по устранению подобных ситуаций, ибо паника =(((

Оффлайн bogong

  • Участник
  • *
  • Сообщений: 214
    • Просмотр профиля
Re: Взломали сервер
« Ответ #1 : 24 Июля 2011, 16:54:25 »
1. hackdetail.py - поищи этот файл у себя в каталоге с HTML-ками b PHP-шками .... Это так же может быть зашито в теле скрипта твоего уже ... Или лежать в другой папке ...
2. Проверь свой скрипт на то чтоб он у тебя парсил все что прилетает методами GET и POST если у тебя скрипт написан в PHP то скорей всего через него и ломанули, через пересылку переменных
3. Иди на sysadmins.ru задай там этот же вопрос ... По безопасности там народ поболее знает

PS / А по поводу паники - есть классная пословица ... Первый раз больно, а потом привыкаешь и нравиться ... Панику отставить!!! Включать голову!!!
Первый шаг:
http://www.google.ru/#hl=ru&xhr=t&q=hackdetail.py&cp=13&pf=p&sclient=psy&newwindow=1&site=&source=hp&aq=f&aqi=&aql=&oq=hackdetail.py&pbx=1&bav=on.2,or.r_gc.r_pw.&fp=4255f93b57cc77f6&biw=1920&bih=1064
Таких как ты оказывается много ... Смотри у них решения данной проблемы
« Последнее редактирование: 24 Июля 2011, 17:00:36 от bogong »

Оффлайн intervision

  • Автор темы
  • Активист
  • *
  • Сообщений: 312
  • Только тяжелая музыка
    • Просмотр профиля
    • Сумеречное Радио
Re: Взломали сервер
« Ответ #2 : 24 Июля 2011, 17:06:08 »
Большое спасибо щас попробую

Оффлайн bogong

  • Участник
  • *
  • Сообщений: 214
    • Просмотр профиля
Re: Взломали сервер
« Ответ #3 : 24 Июля 2011, 17:11:55 »
Цитата: intervision от 24 Июля 2011, 17:06:08
Большое спасибо щас попробую

Не за что ...
Судя по всему ...:
Код: [Выделить]
213.141.140.52 - - [02/Jul/2011:22:25:24 -0700] "GET /html/art/hackdetail.py?ipaddress=72.29.93.26&date=2011-05-05+06%3A29%3A24/admin/file_manager.php/login.php HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:25:24 -0700] "GET /html/art/hackdetail.py?ipaddress=72.29.93.26&date=2011-05-05+06%3A29%3A24/admin/categories.php/login.php?cPath=&action=new_product_preview HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:25:32 -0700] "GET /html/art/hackdetail.py?ipaddress=72.29.93.26&date=2011-05-05+06%3A29%3A24/admin/file_manager.php/login.php HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:25:32 -0700] "GET /html/art/hackdetail.py?ipaddress=72.29.93.26&date=2011-05-05+06%3A29%3A24/admin/categories.php/login.php?cPath=&action=new_product_preview HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:26:03 -0700] "GET /html/art/hackdetail.py?ipaddress=67.29.139.224&date=2011-04-26+07%3A24%3A19/admin/categories.php/login.php?cPath=&action=new_product_preview HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:26:07 -0700] "GET /html/art/hackdetail.py?ipaddress=67.29.139.224&date=2011-04-26+07%3A24%3A19/admin/file_manager.php/login.php HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:26:43 -0700] "GET /html/art/hackdetail.py?ipaddress=67.29.139.224&date=2011-04-26+07%3A24%3A19/admin/categories.php/login.php?cPath=&action=new_product_preview HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:26:49 -0700] "GET /html/art/hackdetail.py?ipaddress=67.29.139.224&date=2011-04-26+07%3A24%3A19/admin/file_manager.php/login.php HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:27:51 -0700] "GET /html/art/hackdetail.py?ipaddress=92.53.112.194&date=2011-04-29+10%3A00%3A35/admin/categories.php/login.php?cPath=&action=new_product_preview HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:27:53 -0700] "GET /html/art/hackdetail.py?ipaddress=92.53.112.194&date=2011-04-29+10%3A00%3A35/admin/file_manager.php/login.php HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:29:16 -0700] "GET /html/art/hackdetail.py?ipaddress=80.14.209.27&date=2011-05-05+14%3A40%3A24/admin/file_manager.php/login.php HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:29:17 -0700] "GET /html/art/hackdetail.py?ipaddress=80.14.209.27&date=2011-05-05+14%3A40%3A24/admin/categories.php/login.php?cPath=&action=new_product_preview HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:30:20 -0700] "GET /html/art/hackdetail.py?ipaddress=112.216.153.186&date=2011-04-27+00%3A10%3A46/admin/file_manager.php/login.php HTTP/1.1" 403 224
213.141.140.52 - - [02/Jul/2011:22:30:29 -0700] "GET /html/art/hackdetail.py?ipaddress=112.216.153.186&date=2011-04-27+00%3A10%3A46/admin/categories.php/login.php?cPath=&action=new_product_preview HTTP/1.1" 403 224
213.141.140.52 - - [04/Jul/2011:11:34:19 -0700] "GET /html/art/hackdetail.py?ipaddress=75.125.129.42&date=2011-06-23+18%3A05%3A34/admin/file_manager.php/login.php HTTP/1.1" 403 224
Схема была такова:
1. у тебя в ПХП не было проверки и отделения striptag-ом и это вызвало возможность подмены переменных в ГЕТ и ПОСТ ... Через подмену залили какашку ...
2. в правах на запуск не было прописан список скриптов разрешенных к исполнению, или же напихали в тело скрипта
3. после этого использовали твой сервак как донор для исполнения задуманного ...
4. он от куда-то скачал и куда-то переслал ...
5. посмотри логи куда он чего слал ...
6. сравни структуру своих каталогов с тем что я тебе выделил ...

Все это основано на подмене заголовков HTTP
А судя по наличию 403 ошибки не все у них пошло гладко ...
Пользователь решил продолжить мысль 24 Июля 2011, 17:23:39:
http://kfrazier.mooo.com/html/art/hack.php - прочти внимательно со словарем все что на этой страничке!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Похоже ни тебя одного пои ... ой взломали ... Судя по структуре каталогов, первоисточник этого кала на этом сайте ...


Если будет не трудно если что выяснишь ..., отпишись об этом здесь ..., будет полезно ... Я уже создал пост со ссылкой на твое сообщение на sysadmins.ru ... Если что ответят выложу ссылку

А это информация о владельце странички ... Может правда он тоже просто пострадавший ... Сервис whois:
Код: [Выделить]
Socket Fire
8800 Sierra College Blvd
Apt 712
Roseville, CA  95661
US
« Последнее редактирование: 24 Июля 2011, 17:44:07 от bogong »

Оффлайн intervision

  • Автор темы
  • Активист
  • *
  • Сообщений: 312
  • Только тяжелая музыка
    • Просмотр профиля
    • Сумеречное Радио
Re: Взломали сервер
« Ответ #4 : 24 Июля 2011, 17:39:11 »
это не мои логи - мне прислал этот лог в письме владелец другого серва на который видимо и производилась атака посредствам моего серва...

щас нашел в каталоге с одним из субдоменов кучу скриптов какашечных )))

собственно вопрос по конфигу - что и где поменять ибо совсем не понятно стало....
Пользователь решил продолжить мысль 24 Июля 2011, 17:45:53:
по ссылке 403 =(
« Последнее редактирование: 24 Июля 2011, 17:45:53 от intervision »

Оффлайн bogong

  • Участник
  • *
  • Сообщений: 214
    • Просмотр профиля
Re: Взломали сервер
« Ответ #5 : 24 Июля 2011, 17:48:27 »
Цитата: intervision от 24 Июля 2011, 17:39:11
это не мои логи - мне прислал этот лог в письме владелец другого серва на который видимо и производилась атака посредствам моего серва...

щас нашел в каталоге с одним из субдоменов кучу скриптов какашечных )))

собственно вопрос по конфигу - что и где поменять ибо совсем не понятно стало....
Пользователь решил продолжить мысль 24 Июля 2011, 17:45:53:
по ссылке 403 =(

1. Прочти внимательно все что написано в ссылке которую прислал раньше
2. Не удаляй скрипты а сделай архивную копию и проанализируй что они делают
3. Результатом поделись с ближним ...
4. Сохрани все логи и всю переписку по этой ситуации ..., так на всякий случай ... Мало-ли что ... Может через твой сайт стырили много денег у банка ..., и потом ты устанешь объяснять что ты не верблюд.
« Последнее редактирование: 24 Июля 2011, 17:51:07 от bogong »

Оффлайн intervision

  • Автор темы
  • Активист
  • *
  • Сообщений: 312
  • Только тяжелая музыка
    • Просмотр профиля
    • Сумеречное Радио
Re: Взломали сервер
« Ответ #6 : 24 Июля 2011, 17:50:39 »
у меня субдомен был на сервере на нем круктилось ядро движдка е107 переделанное под свои нужды. в силу специфических изменений ядро не обновлялось дабы не потерять сотворенное... версия была оч старая и в ней явно могла быть уязвимость с ГЕТ и ПОСТ запросами...

в той же дирректории обнаружились исходники серверов Unreal3.2 (IRC сервер с трояном внутри) и EggDrop (пока хз что это)

сейчас весь каталог с субдоменом выпилен начисто

только есть вопрос - если из исходников что то компилили - где это найти и как удалить?
Пользователь решил продолжить мысль 24 Июля 2011, 17:51:57:
часть скриптов зашифрована в bayes
не могу проанализировать - серв у меня как хобби так что знаний в этом плане почти нет...

Оффлайн bogong

  • Участник
  • *
  • Сообщений: 214
    • Просмотр профиля
Re: Взломали сервер
« Ответ #7 : 24 Июля 2011, 17:53:08 »
Цитата: intervision от 24 Июля 2011, 17:50:39
только есть вопрос - если из исходников что то компилили - где это найти и как удалить?

Что за система??? Ubuntu? FreeBSD? в зависимости от системы смотри куда и как запускался инсталятор и конфигуратор и смотри что и куда они сваливали ... Логи инсталятора смотри

Оффлайн intervision

  • Автор темы
  • Активист
  • *
  • Сообщений: 312
  • Только тяжелая музыка
    • Просмотр профиля
    • Сумеречное Радио
Re: Взломали сервер
« Ответ #8 : 24 Июля 2011, 17:53:53 »
ubuntu 11.04
могу выложить куда нить архив с мусором ))
Пользователь решил продолжить мысль 24 Июля 2011, 17:58:09:
а вот еще кое что интересное

Код: [Выделить]
Jul 24 17:47:01 server CRON[849]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:48:01 server CRON[1007]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:49:01 server CRON[1151]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:50:01 server CRON[1333]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:51:01 server CRON[1547]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:52:01 server CRON[1807]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:53:01 server CRON[1970]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:54:01 server CRON[2132]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:55:01 server CRON[2315]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:56:01 server CRON[2487]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
« Последнее редактирование: 24 Июля 2011, 17:58:09 от intervision »

Оффлайн bogong

  • Участник
  • *
  • Сообщений: 214
    • Просмотр профиля
Re: Взломали сервер
« Ответ #9 : 24 Июля 2011, 18:01:52 »
Цитата: intervision от 24 Июля 2011, 17:53:53
ubuntu 11.04
могу выложить куда нить архив с мусором ))
Пользователь решил продолжить мысль 24 Июля 2011, 17:58:09:
а вот еще кое что интересное

Код: [Выделить]
Jul 24 17:47:01 server CRON[849]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:48:01 server CRON[1007]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:49:01 server CRON[1151]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:50:01 server CRON[1333]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:51:01 server CRON[1547]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:52:01 server CRON[1807]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:53:01 server CRON[1970]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:54:01 server CRON[2132]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:55:01 server CRON[2315]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)
Jul 24 17:56:01 server CRON[2487]: (www-data) CMD (/tmp/.psy/y2kupdate >/dev/null 2>&1)


http://forum.searchengines.ru/archive/index.php/t-485421.html
http://www.webhostingtalk.com/archive/index.php/t-424828.html
http://forums.theplanet.com/lofiversion/index.php/t49143.html
http://www.directadmin.com/forum/showthread.php?t=15729

http://restart.bids4domains.com/komanda-restart-apache-cherez-cron.html
http://webhosting.bigresource.com/auto-restart-apache-on-cron-zFAcn9wt.html

http://sysadmins.ru/forum9.html
« Последнее редактирование: 24 Июля 2011, 18:19:58 от bogong »

Оффлайн intervision

  • Автор темы
  • Активист
  • *
  • Сообщений: 312
  • Только тяжелая музыка
    • Просмотр профиля
    • Сумеречное Радио
Re: Взломали сервер
« Ответ #10 : 24 Июля 2011, 18:14:09 »
да, эт я нашел уже, можно ли вычистить всю папку tmp или там что то нужное может находиться?
Пользователь решил продолжить мысль 24 Июля 2011, 18:28:44:
короче вычистил темп
вычистил папки сайта лишние
нашел так же дыру в пхпмайадмин - снес его весь нафиг
удалил левые задания в крон

видимо осталось только ждать и следить
« Последнее редактирование: 24 Июля 2011, 18:28:44 от intervision »
Страницы: [1]   Вверх
« предыдущая тема следующая тема »
 

Страница сгенерирована за 0.037 секунд. Запросов: 26.

© 2012 Ubuntu-ru — Русскоязычное сообщество Ubuntu Linux.
© 2012 Canonical Ltd. Ubuntu и Canonical являются зарегистрированными торговыми знаками Canonical Ltd.