PDA

Просмотр полной версии : Сайт спамит по-черному

serg-php
21.12.2008, 00:12
Уважаемые, коллеги!
На сайт проник вредоносный скрипт и спамит!

Наши действия:
- заменили пароли на аккаунт;
- узнали у хостера текст писем и заголовки;
- просмотрели скрипты на сайте и не нашли ничего подозрительного.

Вопрос! Как отловить сей спам-скрипт либо отрезок кода?
Dimi4
21.12.2008, 00:30
serg-php
Посмотри аксесс, еррор логи сервера.Попробуй найти файлы. которые недавно изменялись. Если в письмах реклама сайта, попробуй написать абузу\выяснить кто владелец
serg-php
21.12.2008, 01:19
Попробуй найти файлы. которые недавно изменялись.

Как их автоматом найти?

Абуза - глупо! Сайт смотрел - там грамотно сделано и не факт, что следующая пачка спама будет иметь ссылку на другой сайт!

Привожу текст спам-письма:


<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML><HEAD>
<META http-equiv=Content-Type content="text/html; charset=Windows-1252">
</HEAD>
<BODY><a href="http://happinessmain.com/" target="_blank">
<img src="http://happinessmain.com/shop.gif" border=0 alt="Having trouble viewing this email?
Click here to view as a webpage."></a></BODY></HTML>
serg-php
21.12.2008, 14:38
Есть ли способы выявить данный скрипт?
durito
22.12.2008, 13:56
уже выше говорили, посмотри все недавно созданные или модифицированные файлы. спам-скрипт может лежать в любой веб-директории, поэтому слей себе весь контент и прошерсти файлы.
groundhog
22.12.2008, 14:06
Вообще, надо логичнее подойти... Подними логи SMTP, посмотри время когда шёл спам, смотри логи апача, соответствующие этому времени. Насчёт времени изменения - не факт, что его не подправили с помощью touch. На сайте есть формы отправки чего-либо куда-либо? Смотрел скрипты, в которых используется функция mail? Они уязвимы? Ну и ещё раз - логи, логи, логи... Логи SMTP, логи Apache и т.д. Проверь кронжобы и т.д.
serg-php
22.12.2008, 15:16
уже выше говорили, посмотри все недавно созданные или модифицированные файлы. спам-скрипт может лежать в любой веб-директории, поэтому слей себе весь контент и прошерсти файлы


Контент слил! Лазил - тничего не нашел!

Поиск усложняется тем, что:

- основные файлы системы под зендом
- есть качаный из инета скрипт генерации саймапа,
который прошел обфускацию, но триал скрипта
не был снят, пришлочь самому доделывать
(возможно в этом вся проблема)

Крипт стоял на крон-джобе!

Сейчас - джоб и скрипт удалил!
Dimi4
22.12.2008, 17:46
Если у тебя был недавний бекап сайта то можеж попробать сравнить. Слей весь текующий контент и проверь тоталкомандером на совпадение файлов.

Абуза - почему глупо? Ну разве если абузостойкий... А так пиши, приведи пример письма, обьясни ситуацию и тд. При правельно подходе сайты снимают за 3-5 дней (из собственного опыта)
serg-php
23.12.2008, 00:36
Если у тебя был недавний бекап сайта то можеж попробать сравнить

Cайт постоянно доделывался и бекапа целенаправленного не было т.к. переехали к новому хостеру у которого все и началось!
serg-php
23.12.2008, 00:37
Хостер, надежный! Просто непонятно, откуда спам!
Dimi4
23.12.2008, 00:39
Ну так сравни с последней версией. Я думаю ты поймешь что твое, а что нет.
.::BARS::.
24.12.2008, 09:31
Посмотри полые заголовки письма... может это даже и не твой серв. просто кто то прикрывается...
.::BARS::.
24.12.2008, 09:32
Прикрыться легко, хочешь я тебе письмо от путина пришлю? Пиши в ПМ
BanQui
24.12.2008, 19:03
По идее у апача должен быть файлик access.log и error.log тама много инфы! Посмари может чо и подазрительное найдешь! Вообще по идее скрипт мог быть залит через shell! Посмари уязвимости и т.д. и вообще скажи сайт то свой!!!
DeepBlue7
03.01.2009, 15:45
Как выявить ? Ищи в php файлах другие скрипты которые обращаются к формам добавления сообщений и т.д (кроме как известные и разрешенные) =)