Bekijk Volledige Versie : Wat probeert een script te starten?
In mijn logviewer zie ik erg vaak de volgende regel voorbij komen:
[Sun Sep 30 16:25:23.984202 2018] [:error] [pid 28024] [client my.server.ip:58082] File does not exist: /var/www/html/code.php
Er blijkt dus iets te zijn op mijn server dat code.php probeert te starten. Hoe kom ik erachter welk script dat is?
Ik heb wel wat probleempjes, maar wil ze stap voor stap oplossen. Er is bijvoorbeeld ook een domein met een wordpress installatie met problemen.
Bedankt voor het antwoord
Ramon Fincken
30/09/18, 19:21
Ten eerste: is die WP install in hetzelfde account? Nooit 1 account met meerdere sites doen, dat is vragen om problemen. 1 lek -> alles lek.
Draai eens een sucuri scan (de betaalde versie) en check je access log, daarin zal mogelijk een aanroep naar code.php staan. Tenzij het commandline is (cronjob?)
Die log bekijk ik als admin van me vps. Die wp install staat gewoon in een useraccount.
Is er ook een free optie voor die securiscan? T is meer een hobby vps namelijk ;)
Ramon Fincken
01/10/18, 07:53
Die log bekijk ik als admin van me vps. Die wp install staat gewoon in een useraccount.
Is er ook een free optie voor die securiscan? T is meer een hobby vps namelijk ;)
1) ik noem niet voor niets de betaalde versie
2) als je hobby VPS gehacked wordt ben jij wel de pineut, zorg voor goede systeembeheer en backups!
- - - Updated - - -
Die log bekijk ik als admin van me vps. Die wp install staat gewoon in een useraccount.
Is er ook een free optie voor die securiscan? T is meer een hobby vps namelijk ;)
1) ik noem niet voor niets de betaalde versie
2) als je hobby VPS gehacked wordt ben jij wel de pineut, zorg voor goede systeembeheer en backups!
Je kunt met een iptables regel bijhouden welke lokale gebruiker naar poort 80/443 verbinden.
/sbin/iptables -I OUTPUT -p tcp --dport 80 -m state --state NEW -j LOG --log-prefix "Outgoing web request: " --log-level 6 --log-uid
/sbin/iptables -I OUTPUT -p tcp --dport 443 -m state --state NEW -j LOG --log-prefix "Outgoing web request: " --log-level 6 --log-uid
Dat geeft je in ieder geval een begin waar je kunt zoeken.
/var/www/html is denk ik de root directory van je server zelf. Ik denk dat dat iemand naar $JOUW_IP/code.php gaat, waarschijnlijk met een bot op zoek naar security gaten oid.
/var/www/html is denk ik de root directory van je server zelf. Ik denk dat dat iemand naar $JOUW_IP/code.php gaat, waarschijnlijk met een bot op zoek naar security gaten oid.
Kan, maar dan staat er als client ip niet het adres van mijn server!
grep "code.php" /var/spool/cron/*