Witam. Mam pewien problem, mianowicie ktoś włamał mi się na serwer i podpiął mi się do pliku config.php jednej strony (w pliku zmieniłem dane na błędne i zarówno moja jak i ta druga witryna przestały działać). Ten ktoś również kupił sobie domenę i postawił identyczną stronkę, a co najgorsze pobiera wszystkie dane z mojej bazy. Moje pytanie brzmi jak znaleźć gdzie jest plik na serwerze, który odwołuje się do config.php i łączy się z bazą?
Może jakieś inne rozwiązania?
Mam dedyka, był dobrze zabezpieczony, ale po awarii w serwerowni porobili mi takiego pasztetu, że jedna strona jest skopiowana w kilku katalogach i dopiero muszę to czyścić (oni odmówili przywrócenia wszystkiego do wcześniejszej formy). Może ktoś podpowie gdzie szukać w logach, która domena pobiera informacje z danej bazy.
Jeśli ktoś ma jakiś pomysł to z góry dziękuję za podzielenie się nim.
Pełna wersja: [php]Włamanie na serwer
skoro dane pobiera ( a nie pobrał raz) to szukaj w logach "dziwnych" odwołać, jakiś skryptów (pewnie php).
możesz za pomocą grep wyszukać pliki, które się "odwołuje" do twojego pliku (ścieżki) - aczkolwiek osobiście w takim wypadku bym zamaskowała to w takim skrypcie :-)
a na szybko jeśli znasz domenę to znasz IP - zablokuj go na firewallu
ps. napisz jeszcze, bo może się przydać taka informacja - jakim cudem awaria w serwerowni miała wpływ na zawartość dysku w twojej maszynie ?
możesz za pomocą grep wyszukać pliki, które się "odwołuje" do twojego pliku (ścieżki) - aczkolwiek osobiście w takim wypadku bym zamaskowała to w takim skrypcie :-)
a na szybko jeśli znasz domenę to znasz IP - zablokuj go na firewallu
ps. napisz jeszcze, bo może się przydać taka informacja - jakim cudem awaria w serwerowni miała wpływ na zawartość dysku w twojej maszynie ?
Próbuję wyszukać ścieżkę, ale nie znajduje mi nic co by pomogło. Blokowanie Adresu ip zostawię na później, bo teraz testuję niektóre pliki i sprawdzam czy czasem tej strony nie ma u mnie na serwerze, ale trudno przekopać tyle folderów nie będąc do tego jeszcze ekspertem (nie wiem gdzie szukać).
Nie jestem ekspertem w administracji dedykami, dlatego powiedzcie jak laikowi, które logi (ścieżka) przeglądać, gdzie można umieścić stronę, żeby nie była widoczna ani w panelu DA, w jakich plikach dodawać domeny ręcznie, aby je zamaskować i wszystko co wam przyjdzie do głowy.
Ps. W momencie kiedy dodawałem linijkę w htaccess wywaliło błąd u mnie i na tamtej stronie również.
W odpowiedzi na Twoje pytanie ctom
"ps. napisz jeszcze, bo może się przydać taka informacja - jakim cudem awaria w serwerowni miała wpływ na zawartość dysku w twojej maszynie ?"
Nie wiem jakim cudem, ale po awarii nagle padła mi jedna ze stron, za cholerę nie udało się nic zrobić, administratorzy napisali mi, że w plikach coś się pomieszało bo zapytania sql wykonują się w pętli. Do tego jeszcze strona wcale nie działała, tylko biała strona i zero błędów (oczywiście display_errors ON) . Sprawdzałem cache, czyściłem, sprawdzałem konfigurację i nic. Potem doszedłem, że niektórych plików brakuje, ale to i tak już było po fakcie . Skoro brakowało plików to pewnie przekopiowali z dysku lub jakiegoś backup'a i to nie wszystkie. Strona mi nie działała ponad 14 dni zanim przeniosłem bazę na inny silnik.
Nie jestem ekspertem w administracji dedykami, dlatego powiedzcie jak laikowi, które logi (ścieżka) przeglądać, gdzie można umieścić stronę, żeby nie była widoczna ani w panelu DA, w jakich plikach dodawać domeny ręcznie, aby je zamaskować i wszystko co wam przyjdzie do głowy.
Ps. W momencie kiedy dodawałem linijkę w htaccess wywaliło błąd u mnie i na tamtej stronie również.
W odpowiedzi na Twoje pytanie ctom
"ps. napisz jeszcze, bo może się przydać taka informacja - jakim cudem awaria w serwerowni miała wpływ na zawartość dysku w twojej maszynie ?"
Nie wiem jakim cudem, ale po awarii nagle padła mi jedna ze stron, za cholerę nie udało się nic zrobić, administratorzy napisali mi, że w plikach coś się pomieszało bo zapytania sql wykonują się w pętli. Do tego jeszcze strona wcale nie działała, tylko biała strona i zero błędów (oczywiście display_errors ON) . Sprawdzałem cache, czyściłem, sprawdzałem konfigurację i nic. Potem doszedłem, że niektórych plików brakuje, ale to i tak już było po fakcie . Skoro brakowało plików to pewnie przekopiowali z dysku lub jakiegoś backup'a i to nie wszystkie. Strona mi nie działała ponad 14 dni zanim przeniosłem bazę na inny silnik.
znasz domenę - sprawdź na jaki serwer wskazuje
jak na Twój to sprawdź pliki konfiguracyjne apacha (zakładam, że taki masz serwer www) zobacz czy jakieś inne vhosty nie są includowane
jak na Twój to sprawdź pliki konfiguracyjne apacha (zakładam, że taki masz serwer www) zobacz czy jakieś inne vhosty nie są includowane
Lipne dane - nie ma takiej firmy
REGISTRANT:
company: Intraverum
street: ul. Antoniewska 91 5
city: 02-977 Warszawa
location: pl
last modified: 2013.04.18
Host to 104.28.23.7
zoe.ns.cloudflare.com [173.245.58.149] US
lee.ns.cloudflare.com [173.245.59.129] US
nameservers: lee.ns.cloudflare.com.
zoe.ns.cloudflare.com.
created: 2014.11.04 08:59:08
last modified: 2014.11.04 11:02:51
renewal date: 2015.11.04 08:59:08
no option
dnssec: Unsigned
REGISTRAR:
nazwa.pl S.A.
ul. Cystersów 20A
31-553 Kraków
Polska/Poland
+48.801 33 22 33
+48.12 297 88 10
+48.12 297 88 08
kontakt@nazwa.pl
www.nazwa.pl
Pisałem do nazwy to również mnie olali, pisali, że nic nie mogą zrobić.
Już nie wiem co i gdzie zrobić
Zauważyłem w pliku passwd coś takiego, może ktoś objaśnić?
Nie wygląda mi to poprawnie
Kod
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/bin/sh
man:x:6:12:man:/var/cache/man:/bin/sh
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
uucp:x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy:x:13:13:proxy:/bin:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh
backup:x:34:34:backup:/var/backups:/bin/sh
list:x:38:38:Mailing List Manager:/var/list:/bin/sh
irc:x:39:39:ircd:/var/run/ircd:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/bin/sh
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
libuuid:x:100:101::/var/lib/libuuid:/bin/sh
bind:x:101:106::/var/cache/bind:/bin/false
fetchmail:x:102:65534::/var/lib/fetchmail:/bin/false
sshd:x:103:65534::/var/run/sshd:/usr/sbin/nologin
smmta:x:104:109:Mail Transfer Agent,,,:/var/lib/sendmail:/bin/false
smmsp:x:105:110:Mail Submission Program,,,:/var/lib/sendmail:/bin/false
webapps:x:106:111::/var/www/html:/bin/false
apache:x:1000:1000::/var/www:/bin/false
diradmin:x:107:112::/usr/local/directadmin:/bin/false
mysql:x:108:113::/usr/local/mysql:/bin/false
ftp:x:109:1001::/home/ftp:/bin/false
majordomo:x:1001:1::/etc/virtual/majordomo:/bin/false
dovecot:x:110:114::/home/dovecot:/bin/false
admin:x:1002:1003::/home/admin:/bin/bash
varnish:x:111:115::/home/varnish:/bin/false
varnishlog:x:112:116::/home/varnishlog:/bin/false
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/bin/sh
man:x:6:12:man:/var/cache/man:/bin/sh
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
uucp:x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy:x:13:13:proxy:/bin:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh
backup:x:34:34:backup:/var/backups:/bin/sh
list:x:38:38:Mailing List Manager:/var/list:/bin/sh
irc:x:39:39:ircd:/var/run/ircd:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/bin/sh
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
libuuid:x:100:101::/var/lib/libuuid:/bin/sh
bind:x:101:106::/var/cache/bind:/bin/false
fetchmail:x:102:65534::/var/lib/fetchmail:/bin/false
sshd:x:103:65534::/var/run/sshd:/usr/sbin/nologin
smmta:x:104:109:Mail Transfer Agent,,,:/var/lib/sendmail:/bin/false
smmsp:x:105:110:Mail Submission Program,,,:/var/lib/sendmail:/bin/false
webapps:x:106:111::/var/www/html:/bin/false
apache:x:1000:1000::/var/www:/bin/false
diradmin:x:107:112::/usr/local/directadmin:/bin/false
mysql:x:108:113::/usr/local/mysql:/bin/false
ftp:x:109:1001::/home/ftp:/bin/false
majordomo:x:1001:1::/etc/virtual/majordomo:/bin/false
dovecot:x:110:114::/home/dovecot:/bin/false
admin:x:1002:1003::/home/admin:/bin/bash
varnish:x:111:115::/home/varnish:/bin/false
varnishlog:x:112:116::/home/varnishlog:/bin/false
A możesz objśnić, jak pozyskałeś zawartośc /etc/shadow? Jeśli jest to współdzielona maszyna to nie świadczy dobrze o umiejetnosciach administratora.
A tak btw to zacznijmy od tego, co za skrypt obsluguje te Twoje witryny?
A tak btw to zacznijmy od tego, co za skrypt obsluguje te Twoje witryny?
W pierwszym poście napisałem, że mam "dedyka", czyli serwer dedykowany, więc mam dostęp do wszystkiego. Skrypty stron są różne i do tego zmodyfikowane.
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.