Как узнать, что этот скрипт делает?

Question

[Алексей Тутубалин]

Был 2 месяца в командировке без интернета, сегодня решил залезть, а в логах сервака вот какая простыня, это всё вводил не я, и пароль только я знаю, подобрать крайне трудно (регенерирован генератором 15 символов), расскажите плизз, что с сервом такое делали.

ссыль на логи
свой кусок убрал

P.S. сорри за простыню, как спойлер ставится, не нашёл.

Answer 1

[Владимир]

судя по

269  [2014-08-10 14:27:32] git clone https://github.com/vanhauser-thc/thc-hydra.git
  270  [2014-08-10 14:27:43] ./configure
  271  [2014-08-10 14:27:51] make
  272  [2014-08-10 14:28:14] make install
  273  [2014-08-10 14:28:17] hydra

вас используют для перебора паролей как минимум

Comments

[jell_fob]

Да и вообще там в каждой третьей команде можно увидеть "crack" и "hack"

Answer 2

[s1dney]

Ваш пароль не такой трудный на самом деле, как вам кажется. Вы его засветили где-то еще или он у вас на почте висит в письме от хостера.
Какой-то дилетант брутфорсит ssh пароли. Повезло еще, что вам попался не самый серьезный кул хацкер, тогда вы бы еще пару лет не узнали, что сервером пользуется кто-то еще.
Поменяйте пароль, запретите логин для рута (жалательно это делать сразу как только устанавливается любой сервер), ребутните сервер и смотрите что пишет `ps aux` и конфиги веб-сервера. Маловероятно, что там что-то останется рабочее.
Но если серьезно подходить к проблеме, то при любых подозрениях на взлом делают реинсталл системы, это самый быстрый и эффективный способ лечения всякой нечести.