Хакнули сервер, не зна что делать

В iptables запрети всё исходящее, кроме того, что нужно. Затем полный реинсталл. Хотя я как-то лечил, но если есть возможность, лучше убить и переставить.

ЗЫ: у тебя случайно vnc наружу не торчал?

Можно ли временно сервер пустить через промежуточный маршрутизатор?

А что именно рассылает-то ?

мало информации для того, что бы начать давать дельные советы.

Расскажи какие роли сервер отрабатывал?

ЗЫ: у тебя случайно vnc наружу не торчал?

cast vinnni
эпичная история была https://www.linux.org.ru/forum/admin/10140652#comment-10146604

а что htop показывает?

На сервере крутиться php приложение на apache2 + база mysql. Ломанули подобрав пароль к root. Проблему обнаружали когда появились проблемы с дотупностью сервера, оказалось что с сервером все нормально, сетевой интерфейс перегружен. Когда я добрался до сервера нашел скрипт в crontab запускающий модифицированный libgcc.so созданый примерно в то время как начались проблемы. Сейчас сервер переодически начинает отправлять запросы на другом серверам обьемом от 20 до 500 mb это видно через iftop. Предложил начальству закрыть все исходящие порты, пока думает.

А как им можно сетевые подключения смотреть?

подобрали рутовый пасс? он простой что ли был? а почему по ssh можно было руту цепляться?

поздно конечно кулаками махать. сервер в реинстал, срочно.

А как им можно сетевые подключения смотреть?

netstat -napt

Сервер заказчиков,о секьюрности они не парялись. Боюсь что нас хостер быстрей забанит, чем мы перенесем приложение.

netstat -napt

Эти исходящие соединения там не отображаются

Общеупотребимый набор утилит типа ps, ls, netstat могли подменить, поэтому на их вывод особо не полагайся.

Предложил начальству закрыть все исходящие порты, пока думает.

Не думать, а трясти надо. Провайдер отрубит доступ, и будет прав.

CentOS

Вообще, rpm умеет показывать повреждённые пакеты. Следует начать, хотябы, с проверки пакетов, где контрольные суммы не совпадают, и поиска файлов, которые никакому пакету не принадлежат. Пакеты с повреждёнными файлами переставить.

Разумеется, это не панацея, так как и rpm может быть подменён, и база rpm корректно модифицирована, но делать надо хоть что-то уже.

поздно пить боржоми. реинстал + последний бекап всего ценного

Пакеты с повреждёнными файлами переставить.

Ещё может быть так, что что-то нужное через make install поставлено и попадётся не в тему, но тут уж как сервер настраивали.

никак, возможно подозрительный демон висит в процессах

для сетевой активности попробуй: jnettop -i <интерфейс>, iptraf -i <интерфейс>, vnstat --live, netstat -ant.

Вообще, rpm умеет показывать повреждённые пакеты.

rpm -Va

При проверке не ограничивайся только системой. Иногда бывает что систему не трогают а модифицируют только веб приложение. Ведь если заметишь спам, то перенесешь бяку на другой хост при бекапе :)

Сервер заказчиков,о секьюрности они не парялись.

теперь есть смысл париться.

Сделай резервную копию. Скопируй список установленных пакетов, установи эти пакеты в специальный каталог (у apt или dpkg есть такая опция) и сравни файлы.

Ну так слей базу и файлы, переставь дистр и залей обратно, это не Gentoo ставить же. Работы на пол часа.

chkrootkit и rkhunter пробовал?

выхлоп netstat -nlp в студию

Сервер заблокировал провайдер после того, как он несанкционированно поменял себе IP. После этого приложение срочно перенесли на другой сервер, а этот отключили. Как оказалось, на практике здесь особо нечего сделать нельзя было. Всем спасибо.

ЗЫ: у тебя случайно vnc наружу не торчал?

ато вдруг это ты его ломанул?

Не, я никакой заразы не ставил :-)

так мы тебе и поверили

подобрали рутовый пасс? он простой что ли был?

windows+putty→profit

а почему по ssh можно было руту цепляться?

а по дефолту.

надо собрать в _другой_ системе chkrootkit, и прогнать на больной. Часто помогает найти изменения.

windows+putty→profit

святой коннектий ... как страшно жить.

авторизоваться по ключам, хороший тон.

святой коннектий ... как страшно жить.

авторизоваться по ключам, хороший тон.

да, я знаю. И про порт знаю, и про PermitRootLogin тоже. Но 95% идиотов не в курсе. Такие дела.

Но 95% идиотов не в курсе. Такие дела.

пока есть эти 95% у нас всегда будет работа, хлеб, икорка итп.

Ты это ТСу рассказывай, я руткит лечил руками на живой системе. Помимо chkrootkit ещё rkhunter использовал. Но если есть возможность переставить - лучше переставить.

Ты это ТСу рассказывай

для него и написано.

извини за невольный каст.

пока есть эти 95% у нас всегда будет работа, хлеб, икорка итп.

они _всегда_ будут.

windows+putty→profit

авторизоваться по ключам, хороший тон.

Как-будто бы ключи нельзя вытащить.

можно, но ключи напрямую не указывают где их применять. таки дела.

Интересно. А вот если найти процесс паразит прибить и переустановить все бинарники, поможет?

можно, но ключи напрямую не указывают где их применять. таки дела.

А пароль типа указывает?

пароль обычно клавиатурный шпион выхватывает.