PDA

Просмотр полной версии : Поиск шелла. Как?

gold-goblin
16.01.2010, 01:33
Выручайте... Есть проект (~50 мб скриптов) был залит шелл я его нашел (по логам) и удалил прикрыв багу через которую он был залит. Но он появляется снова и снова =(
Значит где то есть еще шелл. Подскажите способы его нахождения... (в логах которые ведутся он не палится. Скрипты написанные не мной, да и в пыхе я слаб)
Gifts
16.01.2010, 02:10
gold-goblin find /путь/до/проекта -ctime -2 Где 2 - это количество дней с обнаружения. Это покажет все измененные файлы, а дальше уже их просматривать
gold-goblin
16.01.2010, 02:32
=) уже пытался... Дата создания и изменения меняется легко.....
какие строки характерны для шелов? (к примеру системные вызовы и тд?
gold-goblin
16.01.2010, 02:46
Pashkela
что-то не нравится пройди пожалуйста мимо... Я попросил помощи и надеюсь что мне помогут.
Gifts
16.01.2010, 03:36
gold-goblin ctime изменить на более раннее число - не получится, это всегда будет дата последнего изменения файла/атрибутов файла
gold-goblin
16.01.2010, 03:45
gold-goblin ctime изменить на более раннее число - не получится, это всегда будет дата последнего изменения файла/атрибутов файла
как так? о_О на винде (а серв виндовый реально)
Alf0x0ns
16.01.2010, 03:49
думаю...
- маленький шелл залит к какой то файл сайта, или картинку!
- проверь может есть изменения в .htaccess
- посмотри в /tmp

Скачай все файлы сайта себе на винт потом проверь всех их корректное использование $_GET,$_POST...
Для этого можеш юзать Notepad++ там есть поиск/замена по всех в ньом открытых документах.

Notepad++ _http://notepad-plus.sourceforge.net/ru/download.php
gold-goblin
16.01.2010, 03:57
Скачай все файлы сайта себе на винт потом проверь всех их $_GET,$_POST...
Искать эти строки?
Alf0x0ns
16.01.2010, 04:00
сними может сидеть шелл-код, на пример формата:
system($_GET['cmd']);
passthru($_GET['cmd']);

Кстати можно права лучше выстроить, или ловить по кусочкам.
Тоисть ставить на одну папку права, потом проверить логи, если есть опять шелл, идьом к следующий директории, ставим права опять и так дале... может так получица выловить!
gold-goblin
16.01.2010, 04:26
Кстати можно права лучше выстроить, или ловить по кусочкам.
Тоисть ставить на одну папку права, потом проверить логи, если есть опять шелл, идьом к следующий директории, ставим права опять и так дале... может так получица выловить!

весь движок в 1 папке....
LStr1ke
16.01.2010, 07:13
Скорее всего шелл просто зашифрован.
Как говорил Gifts смотри логи, изменения файлов и их вызов.
и удалил прикрыв багу через которую он был залит. Но он появляется снова и снова =(
Возможно просто прописали код, который по требованию будет создавать шелл.
Отследи с какого IP использовался шелл и в логах отследи к каким он обращался файлам.
А вообще я всегда делаю проверку по md5
suser
16.01.2010, 11:57
тс. выкладывай двиг сюда)
blackybr
16.01.2010, 12:43
eval, system, passthru, base64_encode, gzinflate, shell_exec, exec, инклуды и тд и тп
может быть что угодно, от банального fopen или copy шелла с другого серва, до внедрения где-нибудь preg_replace с /e ...
gold-goblin
17.01.2010, 17:54
тс. выкладывай двиг сюда)
Двиг составляет корпоративную тайну =)

Всем спасибо шелл нашел. Причем вычислил его из-за изменения питон скрипта который вел логи =)