Как узнать откуда залили шел?

Question

[Алексей Тутубалин]

При очередной проверке сайта на г... нашёл кучу шелов(35 штук ) закодированные, и раскиданные в разные места сайта, я конечно сразу сменил все пароли от всего обновил cms(dle) но как узнать откуда они ко мне попали? ссыль на архив файлов(пароль 0000) забыл сказать файлам почти месяц и логов нет

Answer 1

[Владимир Мартьянов]

Логи доступа смотрите.

Comments

[Алексей Тутубалин]

забыл сказать файлам почти месяц и логов нет

[xfg]

Алексей Тутубалин: у вас веб сервер не пишет логи? Тогда не узнаете ничего. А вообще, посмотрел время создания шела, нашел в логах веб сервера запросы на заданное время, посмотрел какие запросы отправлялись хакером и воспроизвел баг. Дальше юнит-тест, фикс, коммит, продакшн.

[Владимир Мартьянов]

xfg: Логов нет - считай калека...

[xfg]

Ну это справедливо конечно только если через веб морду залили, что бывает чаще всего, тем более дле.

[Владимир Мартьянов]

xfg: Для веб-сервера свои логи. Для FTP - свои, для SSH - третьи... Были бы логи - можно было бы искать...

[nirvimel]

Логов нет - считай калека...

Золотые слова.

[Алексей Тутубалин]

xfg: логи хранятся только 10 дней а тут прошло больше 20

[Алексей Тутубалин]

xfg: то что через морду я это и так знаю так как владелец файлов веб север

[xfg]

Алексей Тутубалин: ну вот, настрой веб сервер на ведение логов и в следующий раз, когда обнаружишь что-то странное, будь то шелл, неверные данные в бд, взломы юзеров, то иди и смотри логи, там будет всё, чтобы понять где баг в системе. Сейчас искать бессмыслено, это будет гадание, жди пока опять зальют. Или можешь попытаться погуглить какие эксплойты были в твоей версии дле до обновления.

Answer 2

[Александр]

Логи, читай логи...

Comments

[Алексей Тутубалин]

Их нет

[Александр]

Алексей Тутубалин: тогда, друг мой, у меня плохие новости....

[Александр]

Алексей Тутубалин: пока есть лоГи, дела будут не плохи! ;-)