Как исправить взлом сервера?

Question

[Александр Александрович]

Добрый день, подскажите пожалуйста, есть сервер на ubuntu 14.04 который уже несколько раз за месяц получает азузы и его отключают. Стоит iptable (белый список) и fail2ban. В папке tmp появляются bash файлы которые делают брутфорс других серверов по ssh. Что можно сделать, что бы исправить эту ситуацию?

Answer 1

[Дмитрий Шицков]

1. Просматриваете логи и находите, через что вломились на сервер - ssh, ftp, http или что у вас там ещё крутиться
   
2. Закрываете дыры
   

Может как-то поможет статья https://habrahabr.ru/company/sprinthost/blog/125839/

Answer 2

[Юрий Чудновский]

Любой взлом устраняется в три этапа:
1) Отключение поражённого компьютера.
2) Загрузка с надёжного носителя (флешки) и изучение логов, поиск следов взлома, выяснение способа поражения и выявление уязвимости, позволившей атаку, а так же внесённых взломщиком изменений.
3) Переустановка всей системы, опционально - восстановление контента из бэкапа, закрытие обнаруженных дыр (например, обновление плагинов к wordpress если у вас его движок), смена всех паролей, запуск сервера.
Без переустановки можно обойтись, если вы уверены что взломщик не мог получить рут-права и установить руткиты. Но лучше сразу перестраховаться, чем обнаружить через два дня что всё было напрасно.

Answer 3

[Дмитрий Александров]

Сильно вероятно что "ломают" через http т.к. не настроены права нормально на доступы или используете свои самописные странички.

Comments

[Arris]

А в чем проблема "самописных страничек" ? *ирония*

[Дмитрий Александров]

Arris: как правило не задумываются о куче векторов уязвимостей. Скажем очень часто прибегают к shell_exec и при этом не особо фильтруют данные при передаче в него, примеров такого очень много.

[Arris]

Дмитрий Александров: но самописные-то странички тут ни при чём :) Подобные примеры говорят лишь о том, что пользователь не задумывается о проблемах безопасности в принципе.

[Дмитрий Александров]

Arris: ну так вытекает что пользователь не задумывается о проблемах безопасности пока пишет свою убер удобную страничку =)

Answer 4

[vertas52]

В Вашем случае лучший вариант: заплатить специалистам.

Answer 5

[Дмитрий Айткулов]

если заходите на сервер со статических айпи, ограничите доступ до ssh только с этих айпи. закройте доступ до ssh для рута. Помониторьте top на наличие подозрительных файлов (у меня появился fshquyrwb что то типа этого).

Answer 6

[Нурлан]

У нас когда был взлом. Я в nginx стал в лог писать почти всю важную инфу о пользователе. В итоге в логах увидел, что "админ"(по куке) заливает шелл через дырку в адинке.

Comments

[Влад Малиничев]

Даже интересно, как вы об этом узнали, и какой формат лога вы настроили чтобы это понять)

[Нурлан]

Влад Малиничев попробуй вспомнить, всё что было.
Резко просела статистика по переходом с поисковых систем, при проверке выяснилось, что происходит редирект на левый сайт в случайном порядке. При анализе нашли левую js-ку. Начали искать новые файлы и нашли php-шелл, если его удалить он загружался с нвоым именем. В nginx в лог начали писать тело сообщения от каждого пользователя. По логу нашли момент загрузки файла и кто его загружал. В админке было слабое место, через которое и загружали шел. Вопросом осталось только, как утек пароль админа.

[Влад Малиничев]

Нурлан, наверное не было валидации при загрузке файлов... Хотя в наше то время можно сделать троян в виде картинки))) Ну хорошо что хорошо закончилось, надо будет перепроверить свои проекты) Спасибо