LINUX.ORG.RU
Форум — Talks  

Очень много поисковых запросов на VPS


0

2

Здравствуйте LORовцы, помогите! С вопросам к Вам, так как считаю Вас профи.

Из 2 сайтов на VPS (3.2.0-4-686-pae #1 SMP Debian 3.2.57-3+deb7u1 i686 GNU/Linux) был взломан, только 1.

Симптомы: на сайте разместили код какой-то секс.wap партнерки. Я его удалил (код php+javascript), а в течение дня по случайности был на сервере до прицендента, все было в рабочем состоянии.

Подскажите с чего начать анализ VPS? Всегда заходил на VPS по SSH и FTP с Linux Mint, неужели может быть троян у меня на рабочем компьютере? Надеюсь что нет, а ломали через FTP, но в логах стандартная ситуация - раз в 3 часа FAIL LOGIN: и большая часть спасибо - fail2ban.

И главный вопрос, как остановить говнотрафик с google на одну страницу, где раньше размешался скрипт. Сейчас nginx по этому адресу отдаёт 403, в robots.txt добавил правило, но трафик по 10 запросов в минуту неприятного содержания (опытался выбрать самые приличные:)

google.com: где в Москве театр для нудистов

google.com: скачать звездные воины

google.com: как вые**ть Олю

google.com: Самара купить саблю

← Можно начинать устанавливать Ubuntu 14.04 LTS
Что делать с воображением? →

Подскажите с чего начать анализ VPS?

С покупки новой vps со свежей осью и пакетами, и переноса _данных_ туда.
Сорцы сайта восстановить из vcs.

shahid ★★★★★
()

Просто открой в Самаре магазин сабель. Или трахни Олю. Или построй театр для нудистов. Или в конце-концов объяви войну Луне!
А ты посмотрел из-под какого пользователя был создан файл(ы), который ты удалил? Да и вообще — гуглил бы по содержимому этого файла: с большой вероятностью наткнулся бы на обсуждение именно твоей дряни. А это уже могло бы дать пищу для размышлений.

Stahl ★★☆
()

Нахера тебе останавливать траф? Верни старые страницы дора и продавай траф на партнерку сам. А так траф сам скоро отвалится, через несколько дней, как страница вылетит из выдачи.

А ломать могли через что угодно. Через уязвимость в пхп-коде, или подобрав пароль к админке сайта с залитием шелла, или через ssh или ftp, или использовав эксплойт вроде недавнего с bash. Иногда даже могут взломать хостера.

shimshimshim
()

Чаще всего заливают через дырявый сайт на вротпрессе/жумле/etc.

Если у тебя там есть вебсервер - ищи php c99 shell, как в логах, так и просто find /гдетамутебявеб/ -name «*.php» -exec grep -l c99 {} \;

Если лень сношатся с выдачей грепа - поставь clamav и опять же натрави на директорию с сайтами, он это говно хорошо опознаёт.

svr4 ☆
()
Последнее исправление: svr4 (всего исправлений: 1)
Ответ на: комментарий от morkovkin

Ну и вдогонку добавлю что обычно мало вычистить шелл. Ещё надо найти в логах вебсервера через что его залили и заткнуть дыру.

svr4 ☆
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Можно начинать устанавливать Ubuntu 14.04 LTS
Talks
Что делать с воображением? →