LINUX.ORG.RU
решено Форум — Security  

phpmyadmin проверить на наличие взлома

 ,


0

2

Есть внутренний сайт на debian wheezy в корпоративной локалке, к нему есть доступ снаружи только через 80-й порт.

Из-за ошибки в конфигурации долгое время наружу так же была оттопырена вебморда phpmyadmin.

в логах множество записей вида: 

198.204.250.82 - - [03/Dec/2013:04:39:04 +0400] "GET //admin/phpmyadmin/index.php HTTP/1.1" 404 537 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:06 +0400] "GET //admin/phpmyadmin/scripts/setup.php HTTP/1.1" 404 545 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:10 +0400] "GET //typo3/phpmyadmin/scripts/setup.php HTTP/1.1" 404 545 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:11 +0400] "GET //phpmyadmin1/index.php HTTP/1.1" 404 532 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:11 +0400] "GET //phpmyadmin/scripts/setup.php HTTP/1.1" 403 543 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:12 +0400] "GET //phpmyadmin1/scripts/setup.php HTTP/1.1" 404 540 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:12 +0400] "GET //phpmyadmin2/scripts/setup.php HTTP/1.1" 404 540 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:14 +0400] "GET //xampp/phpmyadmin/scripts/setup.php HTTP/1.1" 404 545 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:21 +0400] "GET //phpmyadmin2/index.php HTTP/1.1" 404 532 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:23 +0400] "GET //phpmyadmin/scripts/setup.php HTTP/1.1" 403 543 "-" "-"
198.204.250.82 - - [03/Dec/2013:04:39:26 +0400] "GET //phpmyadmin/ HTTP/1.1" 403 526 "-" "-"

с разных ip. Побаиваюсь, что какому-нибудь китайцу удалось таки чего-нибудь поломать.

Как проверить cервер на наличие взлома, куда смотреть?

Или это паранойя?

★★★★
← подделывают SSID
Позволить слушать порт конкретному юзеру →

Грохай всё и переустанавливай с нуля, и нефиг всякую парашу на сервер тянуть. Кроме того, один сервер ≡ один сервис.

anonymous
()

1. установить другой порт для phpmyadmin и ограничить доступ через iptables
2. переустановить phpmyadmin

kiotoze ★★★★
()

куда смотреть?

В зеркало. И материться.

Как проверить cервер на наличие взлома

Если у вас просто сдампили базу - то можно даже не заметить взлома. Так что или переставляйте все с нуля с новыми паролями, портами и прямыми руками, или... Или просто закройте внешний доступ к pma и надейтесь на паранойю.

Алсо, в логе сплошь 403-404, на крупных хостингах таких запросов вагон всегда.

l0stparadise ★★★★★
()
Последнее исправление: l0stparadise (всего исправлений: 1)

Смотря чего боишься. Если local root exploit - это одно. Если того, что спёрли базу - это другое.

В любом случае, кроме reinstall всего(про базу - всё кроме структуры - забудь, пароли просраны) 100% гарантий нет ну вообще никаких.

Pinkbyte ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← подделывают SSID
Security
Позволить слушать порт конкретному юзеру →