Spam szerver

Hi !

Sajnos lassan egy hete, van egy kellementlen visszajáró vendégünk egy szerveren.

Etch amd64
Apache2 - PHP 5 - user dir-ekkel
Postfix+Amavis+Spamassasin
Squirrelmail, Joomla
ProFtpd
kb. 600 user

Az ügyesnek sikerül a www-data -val változatos nevű perl scriptet futtatnia :(
....ami aztán küldi a spamet ezerrel a localhostról kapcsolódva a postfixhez
Apacsban mod_perl soha nem is volt
mod_cgi már kikapcsolva, de ezek ellenére is fut.

Jelenleg, manuálisan lövöm le a processeket (3-at indít, ugyan azon néven), ha sikerül neki... és sajnos szokott

Találkozatatok hasonlóval ?
Jelen pillanatban egy mail proxy közbeiktatása , illetve a web szerver
chrootolása - külön konténerbe (openvz) -be való helyezése tűnik megoldásnak.

3416 megtekintés

Megtalalni hol a hiba, hol jon be az ugyes.
Aztan erdemes noexec mount parameteret hasznalni pl.

-------------------------------
“The 0 in Raid 0 stands for how many files you’re going to get back if something goes wrong” :)

0 szavazat

A hozzászóláshoz be kell jelentkezni

Volt nálunk is ilyen, FTP accot lopott.
Első körben greppelj rá a fájlnévre az xferlogban, majd' biztos, hogy megtalálod benne.
Usernek jelszó vált, meg ne mentse el a jelszavát.

+ előttem szóló...
KoviX

0 szavazat

A hozzászóláshoz be kell jelentkezni

Rakj meg egy mod_security-t az apache-ba, es rakj fel hozza szabalyokat a gotroot.com -os listabol, itt van egy csomo szabaly az ilyenek kivedesere. Ezen kivul php-ban allow_url_fopen legyen kikapcsolva.

1 szavazat

A hozzászóláshoz be kell jelentkezni

+1 + megtekinteném ezt a Joomla -t (illetve a többi fent lévő appot) is.

szürkehrteg
azenoldalamponthu

0 szavazat

A hozzászóláshoz be kell jelentkezni

Illetve az exec, shellexec is.

0 szavazat

A hozzászóláshoz be kell jelentkezni

es tarsai.. passthru, system.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Nálunk a biztonsági csoport elmondása alapján a mod_securitynak voltak mindenféle érdekes melléghatásai. Konkrétan nem részletezném, mert nem akarok hülyeséget mondani, de sztem érdemes utánanézni.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Pl. nem megy a f0st@licska módon megírt apps... Na és!? Tessék kijavítani.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Úgy fél éve volt egy vitánk az adminunkkal a mod_security-vel kapcsolatban.

Kissé paranoid módon lett beállítva, mi meg csodálkoztunk, hogy miért nem megy a létező legprimitívebb módon megírt program sem (kb. 4 soros .NET tesztprogram volt a végeredmény). Kiderült, hogy a .NET a szabványnak megfelelően a legminimálisabb request-t küldi alapból. mod_security meg eldobálta, mert nem volt user-agent. Nehogy már az ilyenektől legyen valami secure...

Másik korábbi probléma állítólag egy nagy táblázat postolása közben volt, mert túl sok űrlapmezőt tartalmazott...

----------------
Lvl86 Troll

0 szavazat

A hozzászóláshoz be kell jelentkezni

Aham. Egészen biztos, hogy a User-Agent hiánya volt a probléma? Elég sok szerverről tudom, hogy fel van tolva a mod_security, és tökéletesen megy User-Agent mező nélkül.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Igen, az volt. Csak kicsit paranoidra lett állítva.

Mi is elvitáztunk utána egyet arról, hogy talán a joomlás szarok miatt nem kellene szívatni a belső fejlesztéseket.

----------------
Lvl86 Troll

0 szavazat

A hozzászóláshoz be kell jelentkezni

Egy tudtommal nem kötelező fejlécmezőt megkövetelni nem kicsit paranoid, hanem nagyon barbár dolog...

0 szavazat

A hozzászóláshoz be kell jelentkezni

vedd el a www-data -tol a perl interpreter futtatasi lehetoseget.

chmod 750 perl

kell az neki valamire ?

0 szavazat

A hozzászóláshoz be kell jelentkezni

favago modszer

0 szavazat

A hozzászóláshoz be kell jelentkezni

viszont hatasos

0 szavazat

A hozzászóláshoz be kell jelentkezni

Ja, igy legalabb megtanulnak python-ul. ;)

--
Fontos feladatot soha ne bizz olyan gepre, amit egyedul is fel tudsz emelni!

0 szavazat

A hozzászóláshoz be kell jelentkezni

mi jartunk ugy, hogy a fejleszto include-olt egy GET valtozot ellenorzes nelkul, amivel a spammer geperol beszedtunk egy tetszoleges php scriptet amivel mar barmit lehet tenni.

nehany megfontolando php konfigszabaly (nem is az osszes):
allow_url_fopen = Off
allow_url_include = Off
save_mode = On
safe_mode_include_dir =
safe_mode_exec_dir =
safe_mode_allowed_env_vars = PHP_
safe_mode_protected_env_vars = LD_LIBRARY_PATH
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
expose_php = Off
error_reporting = 0
display_errors = Off
display_startup_errors = Off
register_globals = Off
enable_dl = Off

* wwwroot-ot noexec-kent mountolni
* php (ezzel egyutt apache) csak olyan konyvtarat irjon, ahonnan nem tud vegrehajtani

Pelda:
http://pastebin.com/m1c833863

es az index.php nem irhato az apache-nak:
-rw-r--r-- 1 user group 4841 2009-03-30 16:05 index.php

0 szavazat

A hozzászóláshoz be kell jelentkezni

error_reporting = 0
miért, ha már egyszer
display_errors = Off
miközben
disable_functions -ban nem található ini_set

ezáltal szvsz ezeket gond nélkül vissza lehet állítani...

Én a user public_html -je fölé hoznék létre logfile -t a php loggoláshoz, mert ezzel gyakorlatilag megszüntetted a debug lehetőségét.
Bár ha a usernek van saját php.ini, akkor nem szóltam.

szürkehrteg
azenoldalamponthu

0 szavazat

A hozzászóláshoz be kell jelentkezni

mondtam hogy nem teljes, kosz az ini_set-es hsz-t

azert error_reporting = 0, hogy ne lehessen ertekes infokat kiszivarogtatni azzal, hogy veletlen elcseszem a konfigot.

Igy direkt figyelembe kell venni az error_reporting-ot es a display_errorst is, szoval hiba kizarva.

Egyebkent ha van reporting, nalam syslogba megy, az pedig nincs azon a virtualis gepen tarolva, amirol a web kiszolgalodik.

asd

0 szavazat

A hozzászóláshoz be kell jelentkezni

Ha üzembiztos cuccot hasznalsz, akkor nem baj.
Egy dzsumla, ill. hasonló cucc esetén viszont esetleg automatikusan mennek az ini_set -ek sorban...onnéttól meg mindegy, mit lőttél be error_reporting -ra.

En mindig tiltom az ini_set -et, mint ahogy kb azokat is, amit Te, azonban a php log rendelkezésre áll.
Ha debugolni kell, s nem nekem, akkor a delikvens ne a syslogot grepelgesse, mert az se kis sechole lenne...

szürkehrteg
azenoldalamponthu

0 szavazat

A hozzászóláshoz be kell jelentkezni

a fejleszto include-olt egy GET valtozot

Noooomalis, Margit?

SPAMtelenul - POP3 spamszuro szolgaltatas

0 szavazat

A hozzászóláshoz be kell jelentkezni

Nem, fejlesztő :-)))

0 szavazat

A hozzászóláshoz be kell jelentkezni

Azután is megteszik hogy külön felhívom rá a figyelmét. :)(Asd-től teljesen független eset.)

0 szavazat

A hozzászóláshoz be kell jelentkezni

Akkor userdel xy...

SPAMtelenul - POP3 spamszuro szolgaltatas

1 szavazat

A hozzászóláshoz be kell jelentkezni

+1
--


()=() Ki oda vagyik,
('Y') hol szall a galamb
C . C elszalasztja a
()_() kincset itt alant.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Mindkettőtöktől függetlenül nálam is van ilyen fejlesztett oldal, amire ember halál böszke, hogy saját fejlesztés...

0 szavazat

A hozzászóláshoz be kell jelentkezni

safe_mode deprecated PHP 6-tól.
Csak hogy erre ha nem muszáj, ne építsünk.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Nem ugy van, hogy csak a konfig valtozo lesz deprecated, mert a funkcionalitas beepitodik es nem konfigolhatova valik?
--


()=() Ki oda vagyik,
('Y') hol szall a galamb
C . C elszalasztja a
()_() kincset itt alant.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Én is így tudom...

Szerk:
Rosszul tudtam?

szürkehrteg
azenoldalamponthu

0 szavazat

A hozzászóláshoz be kell jelentkezni

Köszönöm a gyors javaslatokat !!!
Neki is látok hamarosan.....

(A futtatot file természetesen nem található a filerendszeren)
Addig is: (192.168.1.2 a szerver)

#lsof

perl 28715 www-data cwd perl 28715 www-data rtd perl 28715 www-data txt perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data mem perl 28715 www-data 0r perl 28715 www-data 1w perl 28715 www-data 2w perl 28715 www-data 3u perl 28715 www-data 4u perl 28715 www-data 5u perl 28715 www-data 6u perl 28715 www-data 7w perl 28715 www-data 8u perl 28715 www-data 9u perl 28715 www-data 10r perl 28715 www-data 11w perl 28715 www-data 12w perl 28715 www-data 13w perl 28715 www-data 14w perl 28715 www-data 15w perl 28715 www-data 16r perl 28715 www-data 17u perl 28715 www-data 18u perl 28715 www-data 19w perl 28715 www-data 20r perl 28716 www-data cwd perl 28716 www-data rtd perl 28716 www-data txt perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data mem perl 28716 www-data 0r perl 28716 www-data 1w perl 28716 www-data 2w perl 28716 www-data 3u perl 28716 www-data 4u perl 28716 www-data 5u perl 28716 www-data 6u perl 28716 www-data 7w perl 28716 www-data 8u perl 28716 www-data 9u perl 28716 www-data 10r perl 28716 www-data 11w perl 28716 www-data 12w perl 28716 www-data 13w perl 28716 www-data 14w perl 28716 www-data 15w perl 28716 www-data 16r perl 28716 www-data 17u perl 28716 www-data 19w perl 28716 www-data 20r perl 28716 www-data 246u perl 28716 www-data 255u perl 28716 www-data 256u perl 28716 www-data 258u perl 28716 www-data 270u perl 28716 www-data 271u perl 28716 www-data 272u perl 28716 www-data 273u perl 28716 www-data 274u perl 28716 www-data 275u perl 28716 www-data 276u perl 28716 www-data 277u perl 28716 www-data 278u perl 28716 www-data 279u perl 28716 www-data 280u perl 28716 www-data 281u perl 28716 www-data 282u perl 28716 www-data 283u perl 28716 www-data 284u perl 28716 www-data 285u perl 28716 www-data 286u perl 28716 www-data 287u perl 28716 www-data 288u perl 28716 www-data 289u perl 28716 www-data 293u perl 28716 www-data 294u perl 28716 www-data 295u perl 28716 www-data 296u perl 28716 www-data 297u perl 28716 www-data 298u perl 28716 www-data 299u perl 28716 www-data 300u perl 28716 www-data 301u perl 28716 www-data 302u perl 28716 www-data 303u perl 28716 www-data 304u perl 28716 www-data 305u perl 28716 www-data 306u perl 28716 www-data 307u perl 28716 www-data 308u perl 28716 www-data 309u perl 28716 www-data 310u perl 28716 www-data 311u perl 28716 www-data 312u perl 28716 www-data 313u perl 28716 www-data 314u perl 28716 www-data 315u perl 28716 www-data 329u perl 28716 www-data 330u perl 28716 www-data 331u perl 28716 www-data 332u perl 28716 www-data 333u perl 28716 www-data 334u perl 28716 www-data 335u perl 28716 www-data 336u perl 28716 www-data 337u perl 28716 www-data 338u perl 28716 www-data 339u perl 28716 www-data 340u perl 28716 www-data 341u perl 28716 www-data 342u perl 28716 www-data 343u perl 28716 www-data 344u perl 28716 www-data 345u perl 28716 www-data 346u perl 28716 www-data 347u perl 28716 www-data 348u perl 28716 www-data 349u perl 28716 www-data 350u perl 28716 www-data 351u perl 28716 www-data 352u perl 28716 www-data 353u perl 28716 www-data 354u perl 28716 www-data 355u perl 28716 www-data 356u perl 28716 www-data 357u perl 28716 www-data 560u perl 28716 www-data 562u perl 28716 www-data 563u perl 28716 www-data 564u perl 28716 www-data 565u perl 28716 www-data 717u perl 28717 www-data cwd perl 28717 www-data rtd perl 28717 www-data txt perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data mem perl 28717 www-data 0r perl 28717 www-data 1w perl 28717 www-data 2w perl 28717 www-data 3u perl 28717 www-data 4u perl 28717 www-data 5u perl 28717 www-data 6u perl 28717 www-data 7w perl 28717 www-data 8u perl 28717 www-data 9u perl 28717 www-data 10r perl 28717 www-data 11w perl 28717 www-data 12w perl 28717 www-data 13w perl 28717 www-data 14w perl 28717 www-data 15w perl 28717 www-data 16r perl 28717 www-data 17u perl 28717 www-data 19w perl 28717 www-data 20r DIR 9,0 4096 2 /
DIR 9,0 4096 2 /
REG 9,0 13440 1112697 /usr/bin/perl
REG 0,0 0 [heap] (stat: No such file or directory)
REG 9,0 97928 733338 /lib/ld-2.3.6.so
REG 9,0 1254088 1112696 /usr/lib/libperl.so.5.8.8
REG 9,0 10392 733353 /lib/libdl-2.3.6.so
REG 9,0 531600 733349 /lib/libm-2.3.6.so
REG 9,0 96493 733362 /lib/libpthread-2.3.6.so
REG 9,0 1286104 733342 /lib/libc-2.3.6.so
REG 9,0 22656 733335 /lib/libcrypt-2.3.6.so
REG 9,0 119120 1112675 /usr/lib/perl/5.8.8/auto/POSIX/POSIX.so
REG 9,0 19072 1112670 /usr/lib/perl/5.8.8/auto/IO/IO.so
REG 9,0 21360 130305 /usr/lib/perl/5.8.8/auto/Socket/Socket.so
REG 9,0 43368 733350 /lib/libnss_files-2.3.6.so
REG 9,0 18696 733348 /lib/libnss_dns-2.3.6.so
REG 9,0 76600 733345 /lib/libresolv-2.3.6.so
CHR 1,3 831 /dev/null
CHR 1,3 831 /dev/null
CHR 1,3 831 /dev/null
CHR 5,0 1587 /dev/tty
IPv6 11399423 TCP *:www (LISTEN)
CHR 136,0 2 (deleted) /dev/pts/0
sock 0,5 11399424 can't identify protocol
FIFO 0,6 11347573 pipe
IPv6 11399428 TCP *:https (LISTEN)
sock 0,5 11399429 can't identify protocol
FIFO 0,6 11399444 pipe
FIFO 0,6 11399444 pipe
REG 9,0 156099 733290 /var/log/apache2/error.log
REG 9,0 14160683 733154 /var/log/apache2/access.log
REG 9,0 17720803 733297 /var/log/apache2/rewrite.log
REG 9,0 0 521236 (deleted) /var/run/apache2/ssl_mutex
0000 0,10 0 11995982 eventpoll
sock 0,5 11996226 can't identify protocol
IPv4 12546947 TCP 192.168.1.2:36973->122.21.144.static.server.ua:www (SYN_SENT)
FIFO 0,6 11996230 pipe
FIFO 0,6 11996231 pipe
DIR 9,0 4096 2 /
DIR 9,0 4096 2 /
REG 9,0 13440 1112697 /usr/bin/perl
REG 0,0 0 [heap] (stat: No such file or directory)
REG 9,0 97928 733338 /lib/ld-2.3.6.so
REG 9,0 1254088 1112696 /usr/lib/libperl.so.5.8.8
REG 9,0 10392 733353 /lib/libdl-2.3.6.so
REG 9,0 531600 733349 /lib/libm-2.3.6.so
REG 9,0 96493 733362 /lib/libpthread-2.3.6.so
REG 9,0 1286104 733342 /lib/libc-2.3.6.so
REG 9,0 22656 733335 /lib/libcrypt-2.3.6.so
REG 9,0 119120 1112675 /usr/lib/perl/5.8.8/auto/POSIX/POSIX.so
REG 9,0 19072 1112670 /usr/lib/perl/5.8.8/auto/IO/IO.so
REG 9,0 21360 130305 /usr/lib/perl/5.8.8/auto/Socket/Socket.so
REG 9,0 43368 733350 /lib/libnss_files-2.3.6.so
REG 9,0 18696 733348 /lib/libnss_dns-2.3.6.so
REG 9,0 76600 733345 /lib/libresolv-2.3.6.so
CHR 1,3 831 /dev/null
CHR 1,3 831 /dev/null
CHR 1,3 831 /dev/null
CHR 5,0 1587 /dev/tty
IPv6 11399423 TCP *:www (LISTEN)
CHR 136,0 2 (deleted) /dev/pts/0
sock 0,5 11399424 can't identify protocol
FIFO 0,6 11347573 pipe
IPv6 11399428 TCP *:https (LISTEN)
sock 0,5 11399429 can't identify protocol
FIFO 0,6 11399444 pipe
FIFO 0,6 11399444 pipe
REG 9,0 156099 733290 /var/log/apache2/error.log
REG 9,0 14161914 733154 /var/log/apache2/access.log
REG 9,0 17722201 733297 /var/log/apache2/rewrite.log
REG 9,0 0 521236 (deleted) /var/run/apache2/ssl_mutex
0000 0,10 0 11995982 eventpoll
sock 0,5 11996226 can't identify protocol
FIFO 0,6 11996230 pipe
FIFO 0,6 11996231 pipe
IPv4 12547923 TCP 192.168.1.2:55358->200.142.88.172:smtp (SYN_SENT)
IPv4 12547924 TCP 192.168.1.2:56359->204.128.61.190.host.ifxnetworks.com:smtp (ESTABLISHED)
IPv4 12547944 TCP 192.168.1.2:34161->mail-in.roc2.bluetie.com:smtp (SYN_SENT)
IPv4 12547903 TCP
IPv4 12547909 TCP 192.168.1.2:35958->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12547896 TCP 192.168.1.2:51424->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547897 TCP 192.168.1.2:35949->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12547898 TCP 192.168.1.2:58138->virtual2.mx.freenet.de:smtp (SYN_SENT)
IPv4 12547948 TCP 192.168.1.2:51462->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547934 TCP 192.168.1.2:35823->mx1.datacomm.ch:smtp (SYN_SENT)
IPv4 12547904 TCP 192.168.1.2:44291->mx01.t-online.de:smtp (SYN_SENT)
IPv4 12547905 TCP 192.168.1.2:44292->mx01.t-online.de:smtp (SYN_SENT)
IPv4 12547906 TCP 192.168.1.2:35956->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12547908 TCP 192.168.1.2:51433->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547930 TCP 192.168.1.2:51447->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547951 TCP 192.168.1.2:35988->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12547912 TCP 192.168.1.2:51437->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547953 TCP 192.168.1.2:36139->mx.bol.com.br:smtp (SYN_SENT)
IPv4 12547935 TCP 192.168.1.2:51451->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547941 TCP 192.168.1.2:33229->mail-ext.cfe.gob.mx:smtp (SYN_SENT)
IPv4 12547959 TCP 192.168.1.2:41194->mx1.bund.de:smtp (SYN_SENT)
IPv4 12548146 TCP 192.168.1.2:37893->ipx14016.ipxserver.de:smtp (SYN_SENT)
IPv4 12547918 TCP 192.168.1.2:51441->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547922 TCP 192.168.1.2:51454->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547942 TCP 192.168.1.2:51456->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547943 TCP 192.168.1.2:32823->nb-mx-vip4b.prodigy.net:smtp (SYN_SENT)
IPv4 12547966 TCP 192.168.1.2:51474->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12548167 TCP 192.168.1.2:53903->sbbmail3.sbb.ch:smtp (SYN_SENT)
IPv4 12547993 TCP 192.168.1.2:35984->mx-b.kundenserver.de:smtp (SYN_SENT)
IPv4 12548017 TCP 192.168.1.2:37831->ipx14016.ipxserver.de:smtp (SYN_SENT)
IPv4 12548067 TCP 192.168.1.2:35434->tor.mshquil.com.ar:smtp (SYN_SENT)
IPv4 12547986 TCP 192.168.1.2:45742->mailgate1.m-petfilm.de:smtp (ESTABLISHED)
IPv4 12548069 TCP 192.168.1.2:43119->mta-v1.mail.vip.re3.yahoo.com:smtp (SYN_SENT)
IPv4 12547958 TCP 192.168.1.2:51469->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547961 TCP 192.168.1.2:51472->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12547963 TCP 192.168.1.2:35997->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12548018 TCP 192.168.1.2:57072->mail.winkler-stenzel.de:smtp (SYN_SENT)
IPv4 12548060 TCP 192.168.1.2:53057->fulltech-colo2.colo.bit.nl:smtp (SYN_SENT)
IPv4 12547995 TCP 192.168.1.2:34416->imr2.ericy.com:smtp (SYN_SENT)
sock 0,5 12547973 can't identify protocol
IPv4 12548037 TCP 192.168.1.2:50171->toleman.trama.com.br:smtp (SYN_SENT)
IPv4 12548054 TCP 192.168.1.2:40265->cardaciusa.elserver.com:smtp (SYN_SENT)
IPv4 12547982 TCP 192.168.1.2:58231->mx.uol.com.br:smtp (SYN_SENT)
IPv4 12548050 TCP 192.168.1.2:45514->mxa13.expurgate.net:smtp (SYN_SENT)
IPv4 12548029 TCP 192.168.1.2:43276->nowhere.dk.telia.net:smtp (SYN_SENT)
IPv4 12548094 TCP 192.168.1.2:40660->200.169.216.30:smtp (SYN_SENT)
IPv4 12547989 TCP 192.168.1.2:47598->mail-ew0-f18.google.com:smtp (SYN_SENT)
IPv4 12548045 TCP 192.168.1.2:39942->smtp.fundec.com.br:smtp (SYN_SENT)
IPv4 12548071 TCP 192.168.1.2:37359->mx01.mx-server.net:smtp (SYN_SENT)
IPv4 12548059 TCP 192.168.1.2:44855->vmx.terra.com:smtp (SYN_SENT)
IPv4 12548026 TCP 192.168.1.2:32866->nb-mx-vip4b.prodigy.net:smtp (SYN_SENT)
IPv4 12548046 TCP 192.168.1.2:50658->mx.tb.mail.iss.as9143.net:smtp (SYN_SENT)
IPv4 12548061 TCP 192.168.1.2:60553->mxg.netcologne.de:smtp (SYN_SENT)
IPv4 12548102 TCP 192.168.1.2:47418->80.86.185.206:smtp (SYN_SENT)
IPv4 12548068 TCP 192.168.1.2:44861->vmx.terra.com:smtp (SYN_SENT)
IPv4 12548033 TCP 192.168.1.2:50655->mx.tb.mail.iss.as9143.net:smtp (SYN_SENT)
IPv4 12548095 TCP 192.168.1.2:38841->mx-uolar.uol.com.br:smtp (SYN_SENT)
IPv4 12548211 UDP *:59285
IPv4 12548118 TCP 192.168.1.2:37603->smtp-mx6.mac.com:smtp (SYN_SENT)
IPv4 12548123 TCP 192.168.1.2:40757->postino1.prima.com.ar:smtp (SYN_SENT)
IPv4 12548072 TCP 192.168.1.2:58274->mx.uol.com.br:smtp (SYN_SENT)
IPv4 12548100 TCP 192.168.1.2:38844->mx-uolar.uol.com.br:smtp (SYN_SENT)
IPv4 12548110 TCP 192.168.1.2:46577->gralha.furb.br:smtp (SYN_SENT)
IPv4 12548076 TCP 192.168.1.2:40812->bld10.srv.portugalmail.net:smtp (SYN_SENT)
IPv4 12548113 TCP 192.168.1.2:54021->regulus.mgi.de:smtp (SYN_SENT)
IPv4 12548078 UDP *:59217
IPv4 12548079 TCP 192.168.1.2:44496->mx.netcabo.pt:smtp (ESTABLISHED)
IPv4 12548080 UDP *:59218
IPv4 12548103 TCP 192.168.1.2:37896->idcmail-mx1so.cg.shawcable.net:smtp (SYN_SENT)
IPv4 12548098 TCP 192.168.1.2:37891->idcmail-mx1so.cg.shawcable.net:smtp (SYN_SENT)
IPv4 12548086 TCP 192.168.1.2:37752->mail-qy0-f25.google.com:smtp (SYN_SENT)
sock 0,5 12548087 can't identify protocol
IPv4 12548088 TCP 192.168.1.2:51530->bay0-mc11-f.bay0.hotmail.com:smtp (SYN_SENT)
IPv4 12548090 TCP 192.168.1.2:43128->mta-v1.mail.vip.re3.yahoo.com:smtp (SYN_SENT)
IPv4 12548133 TCP 192.168.1.2:60809->mail-qy0-f27.google.com:smtp (SYN_SENT)
IPv4 12548112 apache2 27603 www-data mem REG 9,0 71759 99194 /usr/local/squirrelmail/www/locale/hu_HU/LC_MESSAGES/squirrelmail.mo
IPv4 12549897 TCP 192.168.1.2:37173->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12549899 TCP 192.168.1.2:37175->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12549900 TCP 192.168.1.2:37176->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12549902 TCP 192.168.1.2:37178->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12549903 TCP 192.168.1.2:37179->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
IPv4 12550144 TCP 192.168.1.2:37328->mta-v12.mail.vip.re4.yahoo.com:smtp (SYN_SENT)
DIR 9,0 4096 2 /
DIR 9,0 4096 2 /
REG 9,0 13440 1112697 /usr/bin/perl
REG 0,0 0 [heap] (stat: No such file or directory)
REG 9,0 97928 733338 /lib/ld-2.3.6.so
REG 9,0 1254088 1112696 /usr/lib/libperl.so.5.8.8
REG 9,0 10392 733353 /lib/libdl-2.3.6.so
REG 9,0 531600 733349 /lib/libm-2.3.6.so
REG 9,0 96493 733362 /lib/libpthread-2.3.6.so
REG 9,0 1286104 733342 /lib/libc-2.3.6.so
REG 9,0 22656 733335 /lib/libcrypt-2.3.6.so
REG 9,0 119120 1112675 /usr/lib/perl/5.8.8/auto/POSIX/POSIX.so
REG 9,0 19072 1112670 /usr/lib/perl/5.8.8/auto/IO/IO.so
REG 9,0 21360 130305 /usr/lib/perl/5.8.8/auto/Socket/Socket.so
REG 9,0 43368 733350 /lib/libnss_files-2.3.6.so
REG 9,0 18696 733348 /lib/libnss_dns-2.3.6.so
REG 9,0 76600 733345 /lib/libresolv-2.3.6.so
CHR 1,3 831 /dev/null
CHR 1,3 831 /dev/null
CHR 1,3 831 /dev/null
CHR 5,0 1587 /dev/tty
IPv6 11399423 TCP *:www (LISTEN)
CHR 136,0 2 (deleted) /dev/pts/0
sock 0,5 11399424 can't identify protocol
FIFO 0,6 11347573 pipe
IPv6 11399428 TCP *:https (LISTEN)
sock 0,5 11399429 can't identify protocol
FIFO 0,6 11399444 pipe
FIFO 0,6 11399444 pipe
REG 9,0 156293 733290 /var/log/apache2/error.log
REG 9,0 14162388 733154 /var/log/apache2/access.log
REG 9,0 17722855 733297 /var/log/apache2/rewrite.log
REG 9,0 0 521236 (deleted) /var/run/apache2/ssl_mutex
0000 0,10 0 11995982 eventpoll
sock 0,5 11996226 can't identify protocol
FIFO 0,6 11996230 pipe
FIFO 0,6 11996231 pipe

0 szavazat

A hozzászóláshoz be kell jelentkezni

mit szólnál egy iptables szabályhoz?

iptables -t filter -A OUTPUT -j DROP -p tcp --dport 25
--
Debian Linux rulez... :D

0 szavazat

A hozzászóláshoz be kell jelentkezni

Gondolom azert akar levelet kuldeni mashova.. Bar teny, hogy a kinyomozas idejere hasznos.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Már többször akartam hozzászólni, de mindig elvetettem az ötletemet.
Nos, én arra gondolok végül is, hogy neked egy rootkited lehet. Keress valami olyasmi folyamatot, ami időzítetten fut le (rcon, vagy at).
A feltevésemet igazolja, hogy nincs meg a futó program...
Próbáld csak ki:


#!/usr/bin/perl

ide:
print "\n$x bigyo";
$x++;
goto ide;

Futása közben nevezd át, vagy töröld ki a programot. A memóriából tovább fog futni, amíg ki nem lövöd. Vagyis a programod elindítja magát, majd áthelyezi valahová máshová magát, és ütemezi is, mikor induljon legközelebb.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Legutobb, amikor ilyet lattam, akkor egy Joomla!-t tortek meg. Feltoltotte a scriptet az urge, ami rogton azzal kezdte, hogy torolte magat, igy a filerendszeren mar nem lehetett megtalalni, de mivel mar betoltodott, boldogan futkarozott tovabb (idonkent kiirva sajat magat lemezre & ujrainditva, ha netan kilonek).

Egy masik esetben - ahogy korabbi hozzaszolo is irta - FTP accountot tortek meg, es irtak at egy php scriptet, ami kiirta a perl kodot lemezre, elinditotta & torolte. (Egy korabbi valtozat netrol probalta letolteni a perl kodot, es direktbe pipeolni perlnek, igy lemezre soha meg sem erkezett).

Roviden: a megoldas az lenne, hogy megtalalod hogyan es mikent tort meg, es befoltozod azt a lyukat. Minden mas csak ideiglenes hackeles, es keves hatasa lesz.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Sziasztok !

Tényleg nagyon köszönöm a segítséget, tanácsokat , és a beigazolódott jóslatokat !
Tehát egy torontói ip-ről lopott ftp jelszóval, az adott user public_html -jébe került ( legutoljára kbkkxx.pl néven) egy perl script, és egy php script ami indította a perlest, majd törölték is magukat.

/usr/bin/perl kapott 750-es jogot és egy újonnan létrehozott csoportot, amibe belekerült az amavis és munin felhasználó, mert ezeket még szeretném használni :)
és természetesen ftp user jelszó megváltoztat

ezek után elgondolkodtató lehet, ezek nélkül public_html-t üzemeltetni, mondjuk a webmester jelszavát is ellophatják ?!

Sajnos részben örökség ez a szerver, de biztos, hogy nyáron reform lesz, és minden izolálva (openvz) fog futni :)

THX

0 szavazat

A hozzászóláshoz be kell jelentkezni

/usr/bin/perl kapott 750-es jogot

ftp user jelszó megváltoztat

tuneti kezeles, sosem lesz beloled jo rendszergazda, ha igy allsz a problemamegoldashoz

0 szavazat

A hozzászóláshoz be kell jelentkezni

Köszi a biztatást :)

Természetesen én sem érem be ennyivel, tudom nem ez a megoldás, és nem csak így állok a problémamegoldáshoz, jobb ha ezzel tisztában vagy ! Nem dőltem hátra és tettem az asztalra a lábam.
Sajnos én egy magányos, sz@r rendszergazda vagyok, minden "tudásom" magamtól kellett megszereznem.
Nincs ismerős, volt és jelenlegi munkatárs, haver, bárki, akitől segítséget kérhetnék, konzultálhatnék, tanulhatnék tőle, így hidd el nem könnyű, "jó"-nak lenni. Ezért is írtam ide a hup-ra, és nagyon köszönöm mindenkinek a segítséget.
Amíg nem volt ez a dolog, nem tudtam, hogy mit csináltam rosszul. Milyen irányba kell koncentrálnom, mit kell megtanulnom. Azt is elhiheted, hogy meg fogom tanulni, utána fogok járni.
És azt is jó ha tudod, nekem ez a szerver a harmad-állásom de inkább hoby, más területen kell keresnem a kenyerem, ebből következik, hogy nem tudok annyi időt ezzel tölteni, és tapasztalatot szerezni mint egy hivatásos.

0 szavazat

A hozzászóláshoz be kell jelentkezni

eloszor is mindenkinek kene egy open_basedir + disable_functions mint mar elottem is irtak, utana pedig a sendmail scriptet lecserelni es vizsgalgatni ki mennyit kuld, nagyjabol ezzel meg is van oldva a problema.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Igen, köszönöm.
Természetesen már ezek is megvannak + dobtam egy mailproxy-t is egy konténerbe.
Postfixünk van.
THX

0 szavazat

A hozzászóláshoz be kell jelentkezni

0 szavazat

A hozzászóláshoz be kell jelentkezni

Szia,

Én amit a helyedben tennék az már a fentebb felsorolt php.ini-s beállítások, akár minden usernek külön php.ini melyben a safe mod on, register globals off, open base dir is beállítva és még van pár beállítás amit meg lehet tenni.
Minden kimenő emailt is átengedném a spam szűrőn. És végül de nem utolsó sorban itt van ez:

http://www.iezzi.ch/archives/258

Én használom és nekem bevált.
Minden egyes usert külön lehet szabályozni hány emailt küldhet , percre pontosan láthatod ki mennyi levelet küldött és és azt is loggolja melyik domain melyik php-ja küldte a leveleket.
Ha elérte a kvotáját onnétól nem tud levelet küldeni.

üdv

0 szavazat

A hozzászóláshoz be kell jelentkezni

Ez érdekes lehet(ne), de postfix-ünk van, azért megnézem...
A php.ini a lehetőségekhez mérten beállítva.
A usereknek hamarosan lesz egy külön konténer, ahol megpróbálom legjobb tudásom szerint megkötni a kezüket, illetve
lehetőségük sem lesz majd a levelezgetésre.
Thx

0 szavazat

A hozzászóláshoz be kell jelentkezni

Én postfixel együtt használom , eddig nincs vele semmi gond.

0 szavazat

A hozzászóláshoz be kell jelentkezni

akár minden usernek külön php.ini melyben a safe mod on, register globals off, open base dir is beállítva

a register_globals, safe_mode az lehet globalisan is off/on.

Nalam egy make && bash && m4 combo generalja le az apache konfig filet, minden usernek kulon VirtualHost-tal, amiben az open_basedir pl mindig mas es mas. Pl:

http://pastebin.com/f2438adba

ha valakit erdekel, irok majd nehany szot az m4/bash/make triorol is.
a trapmail egy kis shell script, ami a headerbe beleir egy kis bejegyzest, hogy melyik domain kuldte a mailt... ha valahol elszall egy spambot, kilovom es lekapcsolom a domainre iranyulok http elerest (1 bit egy mysql tablaban)

asd

0 szavazat

A hozzászóláshoz be kell jelentkezni

En ERB sablonnal gyartok, a ruby ezt nagyon szepen meg tudja oldani. Bar a jelenlegi hosting egyelore meg a regebbi, sed-es verziot tolja.
--


()=() Ki oda vagyik,
('Y') hol szall a galamb
C . C elszalasztja a
()_() kincset itt alant.

0 szavazat

A hozzászóláshoz be kell jelentkezni

Nem kell ennek semmi mod_cgi, shellbe fut.

A www-data crontabjába szoktak beágyazódni, onnan indítja magát mindig...
Pucold ki, aztán töröld a fájlt, végül ln -s /dev/null www-data.

A process PID-ja alapján meg tudod nézni /proc-ban a fájlnevet, majd törlöd.
Aztán rkhunter.
--
Discover It - Have a lot of fun!

0 szavazat

A hozzászóláshoz be kell jelentkezni

Friss hozzászólások

Erős a gyanúm, hogy hasonló… 2025-09-09T00:20:42+0200
Antix esetleg a Puppy… 2025-09-09T00:08:12+0200
Engem érdekelne, ha… 2025-09-09T00:06:30+0200
Az lett, frugal install… 2025-09-09T00:05:45+0200
az egykulcsos adórendszer… 2025-09-09T00:04:23+0200
Igen, ha figyeled a… 2025-09-09T00:04:12+0200
Az elkerített, zárt telekre… 2025-09-09T00:00:21+0200
Elkezdtem nézegetni ezt:… 2025-09-08T23:47:54+0200
hajbazer entered the chat 2025-09-08T23:36:30+0200
Csakhogy az egykulcsos… 2025-09-08T23:26:25+0200

Spam szerver

Hozzászólások