Добрый день, взломали VPS'ку. В top висит процесс perl, запущенный от apache рассылает спам.
/proc/exe/<id> дает /usr/bin/perl
в lsof показывает, что скрипт рассылает письма по SMTP, ps elfww тоже выводит только /usr/bin/perl.
Вопрос - как узнать путь до perl скрипта, который запускает апач, если процесс уже запущен?
Добрый день, подскажите, пожалуйста, можно ли как-то однозначно определить по служебным заголовкам письма причину спам-рассылки с сервера? То есть как различить отправку письма 1. скриптом PHP с сайта на сервере (если нет X-PHP-Originated-Script) 2. со взломанного почтового ящика, зарегистрированного на сервере 3. с сервера через open relay 4. каким-то другим вариантом с сервера?
По каким полям смотреть и какие значения?
Пример письма:
x-store-info:fHNTDlzCF8Nxw6HwcfGQy+S7Ax/lqLSmNphQ3OF+T9E= Authentication-Results: hotmail.com; spf=none (sender IP is 68.114.190.14) smtp.mailfrom=dj-kai@vinyl-warriors.de; dkim=none header.d=vinyl-warriors.de; x-hmca=none header.id=dj-kai@vinyl-warriors.de X-SID-PRA: dj-kai@vinyl-warriors.de X-AUTH-Result: NONE X-SID-Result: NONE X-Message-Status: n:n X-Message-Delivery: Vj0xLjE7dXM9MDtsPTE7YT0wO0Q9MjtHRD0yO1NDTD00 X-Message-Info: 11chDOWqoTlqQgbOVr0ULJkS6W3P8pDs5lupD7nbgLRT7cvP6GHWEcmrg2PTIsgNRuRz29L6+dJxL1e8VVuiLx7Arv9+oBDz/fGbu0iZOMWzfcRFwiYfXBpv0lG6PrbrgeOeAdRkMjERDbPd2fqSJ+VeWgZe9fFVMOwMgLxtE1sEownt0+Pj4kXPh1JgA03XkN7Sd+HyJPLOwf7+gB6H6YEgvbpYCdm4 Received: from mtain004.msg.strl.va.charter.net ([68.114.190.14]) by COL004-MC3F54.hotmail.com with Microsoft SMTPSVC(7.5.7601.23008); Tue, 30 Jun 2015 03:52:45 -0700 Received: from impin008 ([68.114.189.32]) by mtain004.msg.strl.va.charter.net (InterMail vM.9.00.018.00 201-2473-151) with ESMTP id <20150630105245.ZETB14063.mtain004.msg.strl.va.charter.net@impin008> for <x>; Tue, 30 Jun 2015 05:52:45 -0500 Received: from myserver.ru ([171.250.242.141]) by impin008 with charter.net id mask1q02a353BG201ask88; Tue, 30 Jun 2015 05:52:45 -0500 X-Chtr-JunkMail: 1 X-Authority-Analysis: v=2.1 cv=d497yHTE c=1 sm=1 tr=0 p=7zc3C0WmAAAA:8 a=LFGznaPaOPhuN8D3Irp7lQ==:117 a=LFGznaPaOPhuN8D3Irp7lQ==:17 a=gc22Veh0AAAA:8 a=hOpmn2quAAAA:8 a=IkcTkHD0fZMA:10 a=P74wgKXhcENRLZUHPLIA:9 a=QEXdDO2ut3YA:10 a=n4JXtq1sHMIA:10 a=-FEs8UIgK8oA:10 a=NWVoK91CQyQA:10 a=cIsoL8RAU4sA:10 a=W142lUuYeS4A:10 Content-Transfer-Encoding: 7bit To: x Corporals-Magnifier-Bungling: 9d94a42ea1b Message-ID: <EA21________________________________8Cce@vinyl-warriors.de> Subject: Vicki dPurchaseExclusive mMedicinez Today ;-) Coordinates-Depart-Reprieves: 2991 MIME-Version: 1.0 Date: Tue, 30 Jun 2015 13:52:45 +0000 From: Nicholas <dj-kai@vinyl-warriors.de> Content-Type: text/html; charset=«utf-8» Clouded-Converts: e1a67aca8b5b4c Grassier-Forgettably: correlate Return-Path: dj-kai@vinyl-warriors.de X-OriginalArrivalTime: 30 Jun 2015 10:52:46.0350 (UTC) FILETIME=[E60B3AE0:01D0B322]
Спасибо.