Что за странный коннект в MySQL?

Question

[Pallam]

В логах появился странный коннект MySQL без адреса подключения.
Странный по двум причинам, потому, что он совершается не кем-то, кто имел бы доступ к серверу, а еще потому, что он дропает мои таблицы, которые я успеваю только бекапить.

Пример "странности":

73460 Connect	root@localhost on
		73460 Query	SET NAMES utf8
		73460 Query	show databases
		73460 Query	SELECT table_name FROM information_schema.tables WHERE table_schema='auth'
		73460 Query	DROP DATABASE auth

Answer 1

[Rsa97]

Connect root@localhost
Значит сломали сам сервер. Меняйте пароль рута в системе, ставьте пароль на root@localhost в MySQL. Смотрите /var/log/auth.log

Comments

[Pallam]

там пусто.
Подключение по ssh только в один ip. Мой.

[Pallam]

плюс сама странность - при любом подключении обычно было видно что-то вроде "Connect root@localhost on auth" к примеру, а сейчас ничего...

[Rsa97]

Pallam: Тогда, возможно, работает скрипт. Его ловить сложно, посадить можно и в крон, и просто прицепить к любому php-файлу на сайте. Попробуйте найти строчку "show databases" по всем файлам, начиная с корня, хотя если скрипт обфусцирован, то этой строки в явном виде может и не быть.

[Pallam]

Rsa97: проще снести систему и поставить на голяк все нужное заново?

[Rsa97]

Pallam: А таки просто поставить пароль на root@localhost?

[Pallam]

Rsa97: Ну я же не дебил, извините =)
Сначала все проставить, потом со всем работать. Я б на тостер не полез, без "крайней" необходимости.

Answer 2

[LittleFatNinja]

лол