Какой тип атаки и как с ним бороться

[зверек]

Соответственно, чтобы скрипт завершил работу, достаточно создать этот файл.

Насколько я понимаю, скрипт перестанет отсылать почту, как только создаться файл. Но что с самим скриптом будет? Он же продолжает висеть в фоновом режиме, пока команды kill не поступило.
Если файл снова удалить, что-то измениться?

 

[Dovg]

блин,
http://ru2.php.net/exit как бы говорит нам, что скрипт прекратит свою работу

"фоновый режим" - это не что-то волшебное
Это тоже самое, что просто запустить скрипт, просто на экран ничего выводиться не будет (как правило и консоль не будет ждать завершения работы скрипта.
В остальном отличий нет.

 

[зверек]

консоль не будет ждать завершения работы скрипта.

тогда зачем set_time_limit(0); ?

-~{}~ 07.10.08 15:43:

Кажется заработало
спасибо большое!

осталось ждать, когда гад проявится.

 

[Активист]

А что тебя смущает , что скрипт будет работать все время? Можно вообще написать

$hakaut_vsegda="/usr/home/magasite.ru/htdocs/index.php";
if (!($fileSize = file_size($hakaut_vsegda))) {
exit(-1);
};

while(true) {
if ($fileSize != file_size($hakaut_vsegda)) {
mail("[email protected]", "АААА! АЛАААРМА! КЕРНЕЛ ПППАААНИК");
exit();
}
sleep(60);

Скрипт будет работать вечно, пока не изменится размер файла.

>Чтобы его запустить в фоновом режиме, надо сделать
Лучше так
php ./zduHaka.php > /dev/null 2>&1 &

 

[зверек]

Активист
А что тебя смущает , что скрипт будет работать все время?

я уже поняла, что он будет работать все время. Просто если консоль не ждет завершения скрипта, то есть ей пофиг сколько скрипт работает, то зачем снятие ограничения в виде set_time_limit(0)?

А скрипт я примерно такой и написала.. Только у меня массив файлов.. Потому что дрянь записывается в разные файлы.

Еще раз спасибо за советы

> /dev/null 2>&1 &

а вот это не расшифруете?

 

[nerezus]

> а вот это не расшифруете?
Основы работы с операционными системами...
Перенаправляем stdout в /dev/null, а stderr в stdout(который в /dev/null).

 

[Dovg]

Просто если консоль не ждет завершения скрипта, то есть ей пофиг сколько скрипт работает, то зачем снятие ограничения в виде set_time_limit(0)?

Кругосветное путешествие занимает время, вне зависимости от того наблюдают за ним или нет

 

[зверек]

а это время имеет лимит какой-то?
вчера запустила процесс, оставила на ночь, вирусов к счастью не было, но утром я решила еще раз убедиться, а работает ли..Сама изменила файл. И... в консоли появилась надпись killed, а скрипт не выполнил тех действий, которые должен был (записать имя файла и дату изменения в некий текстовый файл и отослать мне письмо).
Я заново запустила скрипт в консоли и снова изменила файл. На этот раз все сработало. То есть оно в принципе работает. Но вот длительной работы не выдержало по какой-то причине.
Что не так?

 

[Dovg]

Но вот длительной работы не выдержало по какой-то причине.

а это время имеет лимит какой-то?

Связи не находите?

 

[зверек]

ну так я потому и спросила!

Ну и сколько этот лимит?

жаль что он есть. Чаще всего взломы происходят в выхи. Надо чтобы скрипт крутился два дня как минимум... Такое возможно?

 

[HraKK]

set_time_limit(0);

 

[зверек]

И?

set_time_limit(0); стоит в начале скрипта. Тем не менее это не помогло.

-~{}~ 09.10.08 11:28:

Короче, по крону запустила свой скрипт. Раз в минуту он запускался и сравнивал размеры файлов.
Ночью был взлом. Получила по почте время запуска скрипта, перед которым и осуществилась запись в файл. Проанализировала логи сервера в соответствующее время. Ничего подозрительного не обнаружила. Никаких нестандартных запросов нет.
Значит это не дыра?
Но это так же и не ftp (в логах ftp пусто)
Но тогда что же это..млин???? ((

 

[fixxxer]

это значит что надо нанять квалифицированного unix администратора, т.к. может быть все что угодно вплоть до пропатченного sshd

 

[Активист]

Подскажи, не имея root доступа как ты смотришь логи ftp? поробуй в щеле выполнить last | grep mylogin и напиши сюда что у тебя выдаст

Будет это примерно так:

serv001:~# su -s /bin/bash stroyvlad 
stroyvlad@serv001:/root$ last  | grep stroyvla
stroyvla ftpd10860    81.18.114.98     Mon Oct  6 11:20 - 11:20  (00:00)
stroyvla ftpd10836    81.18.114.98     Mon Oct  6 11:19 - 11:19  (00:00)
stroyvla ftpd10830    81.18.114.98     Mon Oct  6 11:19 - 11:20  (00:01)
stroyvlad@serv001:/root$

-~{}~ 09.10.08 11:45:

fixxxer
Это хостинг 1gb, думаю их админят квалифицированные администраторы.

 

[зверек]

Подскажи, не имея root доступа как ты смотришь логи ftp?

ftp логи доступны для просмотра в личном кабинете на сайте хостера.

поробуй в щеле выполнить last | grep mylogin и напиши сюда что у тебя выдаст

Permission denied выдается

 

[Активист]

зверек
Попросите сделать это тех поддержку.

 

[зверек]

Вы думаете, в личном кабинете они нечто другое предлагают?
Все то же самое, я думаю... Или могут быть различия?
Просто как мне прокоментировать свою просьбу, коль скоро мне доступны логи?

 

[Активист]

зверек
Е маае - материться охота....
Скажите им
"Нам нужно знать с каких IP заходили к нам на аккуант, для этого, отправте пожалуйста результат выполнения "last | grep mylogin_vasya"

Как ты не понимаешь, что логи это другое это как велосипед и порш.

> Вы думаете, в личном кабинете они нечто другое
> предлагают?

Кто редлагает? Что предлагают?

> Все то же самое, я думаю... Или могут быть различия?
Что тоже самое? О чем речь? Какие различия, в чем?? Я не понимаю, извините, конечно.

> Просто как мне прокоментировать свою просьбу, коль скоро
> мне доступны логи?
Зачем комметировать? Ты когда хлеб второго сорта покупаешь, комметируешь продавцу отказ от первого? Логи это логи (кстати, что за логи такие?) что в них написано? Логи трансфера? Как они на сервер делают доступными логи FTP сервера? Но ты на этот вопрос лучше не отвечай, а напиши ответ от суппорта.

 

[зверек]

Активист
Объясняю еще раз. Я захожу в личный кабинет на сайте хостера, где находится панель управления сайтом. Там масса разных функций. В том числе всякая разная статистика. В частности Статистика FTP доступа (логи). Я кликаю на эту ссылочку и получаю именно то, что вы меня просите попросить у них. Даты и Ip заходящих по ftp. А также процессы и файлы, участвующие в этих процессах:

2008-10-09 10:47:09 7397 92.43.164.195 login
2008-10-09 10:47:20 7404 92.43.164.195 download http/footer.php
2008-10-09 10:47:43 7404 92.43.164.195 upload http/footer.php
2008-10-09 10:50:12 7404 92.43.164.195 download logs/access_l2_apache_aux3_08-10-09.log

 

[Активист]

> ... ... ... ... ... ...

"Нам нужно знать с каких IP заходили к нам на аккуант, для этого, отправте пожалуйста результат выполнения "last | grep mylogin_vasya"

Пойми ты, что для доступа к данным можно использовать не только FTP но и SSH, SFTP и т.п., и ОНИ НЕ БУДУТ ОТОБРАЖАТЬЯ У ТЕБЯ В ЛОГАХ FTP, ПОСКОЛЬКУ FTP СЕРВЕР НЕ УЧАВСТВУЕТ В SSH И SFTP.

Пожалуйста, попроси их и кинь сюда результат
Да, какая серверная ОС?
uname -a (набрать в шеле)