Onderwerp: Spam problemen

Ik heb wat verder.
Na een tijdje de running processen in de gaten te houden, verscheen er op bepaalde momenteel "perl" in mijn beeld, welke draait onder user "apache".
Ik maak nog geen gebruik van suphp (omdat een paar websites dan niet soepel werken), dus het is wat lastig om te achterhalen waar alles vandaan komt.

Code:

apache    7586  2.8  0.0  10568  6136 ?        Ss   Nov02  37:05 ./f.pl
root      8842  0.0  0.0   3896   752 pts/2    S+   16:57   0:00 grep .pl
apache   12187  1.4  0.1  22380 13976 ?        Ss   Oct28 124:07 ./movgig.pl
apache   20002  2.9  0.0  12096  7416 ?        Ss   14:58   3:29 ./fima.pl
apache   26798  1.5  0.0  13344  7876 ?        Ss   Oct30  84:31 ./g.pl

Dit zijn dus de boosdoeners... echter, hoe achterhalen vanuit welk pad de files gerunt worden?
Ik heb gezocht naar de filename, echter kan er niks gevonden worden

doe nogmaals:

ls -la /tmp
ls -la /var/tmp
ls -la /dev/shm

check heel goed voor ... bestanden.

Mijn vermoeden op dit moment is dat je attacker shell-toegang heeft. Dit vanwege de aanroep via ./ ...

Ook goed om te doen:

updatedb

locate <naam van script>

Hoe heb je gezocht? Met welk commando?

locate movgig.pl

Of op een andere manier. Draai eventueel eerst even:

updatedb

Om de database indexering up2date te maken. Vaak zijn het verborgen bestanden in de /var/tmp.


Edit: ik moet sneller tikken... zie ook de post hierboven.

Met locate komt er helaas niet veel boven water.

Ik heb voor de zekerheid SSH op een andere poort gezet, en passwords veranderd. Naderhand alle processen gekilled, en het leek eventjes rustig te zijn. Toch waren er opeens weer 4x perl filetjes actief.

Zoeken naar *.pl had trouwens ook geen zin

doe eerste:

updatedb

en daarna locate.

Verder neem ik aan dat je in top die processen ziet? Druk eens op "c" in top. Dan komt het pad te voorschijn waarschijnlijk.

hey brabo,

apache status al enabled and checked?
(er van uitgaande dat je geen apache 0.0.1 meer draait)

Geert-Jan:
Met Apache status is er eigenlijk niks "raars" te zien

RayManz:
Alsnog komt er met locate niks naar buiten (dus ook niet na updatedb).
Wanneer ik "c" gebruik icm top is dit de output:

Code:

20048 apache    15   0 64304  37m 4168 S  2.3  0.5   0:00.14 /usr/sbin/httpd -k start -DSSL
20349 apache    16   0 69296  45m 4092 S  1.7  0.6   0:00.44 /usr/sbin/httpd -k start -DSSL
29142 apache    15   0 10652 6076 1460 R  2.6  0.1   1:35.52 ./avyt.pl
29145 apache    15   0 10784 6344 1492 S  2.6  0.1   3:56.58 ./avyt.pl

Er draaien gewoon weer 4 scriptjes, welke niet zijn te locaten. Ik had zelf een vermoeden dat deze ergens in de root zouden kunnen draaien, maar ook daar niks te vinden

Ze zijn wel te locaten. Gebruik alleen lsof op het processnummer.

lsof -a -p 29145

(We zijn nu twee dagen verder. Zou het niet verstandiger zijn hulp in te roepen voor je straks weken op allerlei blacklists staat?)

Bedankt voor je tip Randy! Helaas stond de server al dezelfde dag op een aantal blacklists (waaronder sorbs). Het is dus helaas al te laat

Ik weet dat ik hulp in kan schakelen, echter probeer ik het liever eerst zelf op te lossen. Op die manier leer ik er zelf namelijk ook wat van

Code:

perl    28250 apache  cwd    DIR     253,3     4096         2 /
perl    28250 apache  rtd    DIR     253,3     4096         2 /
perl    28250 apache  txt    REG     253,3    11236  34220238 /usr/bin/perl
perl    28250 apache  mem    REG     253,3    21876  35029028 /lib/libnss_dns-2.5.so
perl    28250 apache  mem    REG     253,3    46680  35032954 /lib/libnss_files-2.5.so
perl    28250 apache  mem    REG     253,3    20180  34311278 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Socket/Socket.so
perl    28250 apache  mem    REG     253,3   115084  34317088 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/POSIX/POSIX.so
perl    28250 apache  mem    REG     253,3 56422160  34224491 /usr/lib/locale/locale-archive
perl    28250 apache  mem    REG     253,3  1608148  35029014 /lib/libc-2.5.so
perl    28250 apache  mem    REG     253,3   127700  35029038 /lib/libpthread-2.5.so
perl    28250 apache  mem    REG     253,3    13420  35029046 /lib/libutil-2.5.so
perl    28250 apache  mem    REG     253,3    43544  35029018 /lib/libcrypt-2.5.so
perl    28250 apache  mem    REG     253,3   206380  35032951 /lib/libm-2.5.so
perl    28250 apache  mem    REG     253,3    14644  35032950 /lib/libdl-2.5.so
perl    28250 apache  mem    REG     253,3    99660  35032952 /lib/libnsl-2.5.so
perl    28250 apache  mem    REG     253,3    74616  35032956 /lib/libresolv-2.5.so
perl    28250 apache  mem    REG     253,3    16016  34311104 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/IO/IO.so
perl    28250 apache  mem    REG     253,3  1240200  34310909 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/CORE/libperl.so
perl    28250 apache  mem    REG     253,3   124432  35029007 /lib/ld-2.5.so
perl    28250 apache    0r   CHR       1,3               1549 /dev/null
perl    28250 apache    1w   CHR       1,3               1549 /dev/null
perl    28250 apache    2w   CHR       1,3               1549 /dev/null
perl    28250 apache    3w  FIFO       0,6          524113736 pipe
perl    28250 apache    4u  IPv4 531699382                TCP serverhostname.nl:51907->mail-pz0-f84.google.com:smtp (ESTABLISHED)
perl    28250 apache    5w  FIFO       0,6          531682200 pipe
perl    28250 apache    6r  FIFO       0,6          531682201 pipe
perl    28250 apache    7u  IPv4 531699404                TCP serverhostname.nl:51908->mail-pz0-f84.google.com:smtp (ESTABLISHED)
perl    28250 apache    8u  IPv4 531699381                TCP serverhostname.nl:51906->mail-pz0-f84.google.com:smtp (ESTABLISHED)
perl    28250 apache    9u  IPv4 531699413                TCP serverhostname.nl:51909->mail-pz0-f84.google.com:smtp (ESTABLISHED)
perl    28250 apache   10u  IPv4 531699414                TCP serverhostname:51910->mail-pz0-f84.google.com:smtp (ESTABLISHED)
perl    28250 apache 2747u   REG       7,0        0        45 /tmp/ZCUDtsntpS (deleted)

Als ik het correct heb, lijkt de file tijdelijk weggeschreven te worden in /tmp, en daarna deleted.
Is hier nog wat aan te doen? /tmp is namelijk al noexec gemounted (wat blijkbaar niks helpt in dit geval).

Post je /etc/fstab eens hier?

Hierbij de /etc/fstab:

Code:

/dev/VolGroup00/LogVol00                        /                       ext3    defaults,usrquota,grpquota      1 1
LABEL=/boot             /boot                   ext3    defaults        1 2
tmpfs                   /dev/shm                tmpfs   defaults        0 0
devpts                  /dev/pts                devpts  gid=5,mode=620  0 0
sysfs                   /sys                    sysfs   defaults        0 0
proc                    /proc                   proc    defaults        0 0
/dev/VolGroup00/LogVol01 swap                    swap    defaults        0 0
/dev/tmpMnt             /tmp                    ext2    loop,noexec,nosuid,rw  0 0

Ik weet dat ik hulp in kan schakelen, echter probeer ik het liever eerst zelf op te lossen. Op die manier leer ik er zelf namelijk ook wat van

En een aantal mensen die meelezen ook