סוגיית שרת שנפרץ

[chagold]

@clickone אמר בסוגיית שרת שנפרץ:

(לדעתי אם אתה מתחיל דרך חדשה בשרתים הייתי מציע גם שתעבור לסקלוואי מדיגיטל אושן - אני אישית אוהב אותם יותר)

למה?
(ויש להם (בגדול) את כל מה שיש לדגיטל אושן?)

[clickone]

@chagold יש לי שרתים גם בדיגיטל אושן וגם בסקלוואי
יותר נח הניהול בסקלוואי
ונראה לי גם יוצא יותר זול

לגבי תמונות התקנה צריך לבדוק במה אתה משתמש, יש דברים שיש בדיגיטל ואין בסקלוואי ולהפך

[clickone]

@chagold אמר בסוגיית שרת שנפרץ:

טוב בדקתי כעת בשרת נוסף, ויש לו ג"כ כניסות SSH משרתים בסין וארגנטינה...

בעצם, יכול להיות שהלחצתי אותך לחינם..
אולי מה שאתה רואה זה בקשה לSSH עם המשתמש ROOT מסין, אבל לא שיש כעת סשן פעיל אלא רק פתוח (לבקשה שאולי נכשלה)
יותר מדוייק שתשתמש עם who או who -a
סליחה

כמובן כל עוד שאתה לא בטוח הכי טוב זה לחשוד, וכמובן לחסום....

[nigun]

@chagold
אתה יכול לבדוק איזה פורטים בשימוש עם
lsof -i
זה טוב בשביל לראות האם אפאצ'י רץ או משהו אחר
לא בשביל לבדוק האם יש כניסה מסין דרך SSH.

[chagold]

@clickone אמר בסוגיית שרת שנפרץ:

אולי מה שאתה רואה זה בקשה לSSH עם המשתמש ROOT מסין, אבל לא שיש כעת סשן פעיל אלא רק פתוח (לבקשה שאולי נכשלה)
יותר מדוייק שתשתמש עם who או who -a

אכן בזה לא רואים חיבורים פעילים מסין.

בכל אופן עדיין לא הבנתי איך האתר הציג תוכן למרות שאין לו אפאצ'י. (עכשיו הוא כבר לא מציג את ה404, רק דף של שגיאת ssl.

זה הפלט של ה lsof -i

[chagold]

@yossiz אמר בסוגיית שרת שנפרץ:

וגם אם זה אפשרי לחסום בחומת האש את הכניסה ל-SSH ולהשאיר פתוח רק ל-IP שלך

ברירת מחדל, יש ענין לחסום תעבורה יוצאת או רק נכנסת?

[yossiz]

@chagold רק נכנסת.

[nigun]

@chagold
רואים שם את litespeed על פורט 80/443
יש מצב שאתה התקנת את זה?

[chagold]

@nigun הדף 404 באמת שלהם. לא התקנתי.

[nigun]

@chagold
מה קורה אם אתה עוצר את litespeed ומפעיל מחדש את אפאצ'י?
זה אומנם לא משנה כ"כ כי אם נפרץ לך הרשת אתה במילא רוצה להקים חדש
אבל מעניין מה הלך שם?

[chagold]

@nigun כרגע אני בבדיקת השרת החדש (שהופעל על הגיבוי).
שגם שם היה את litespeed. כביתי אותו והאפאצי מריץ רגיל את האתר.
אני יצטרך להקים שרת חדש נקי.
אבל אני בעד לעשות ניתוח פתלוגי.

[nigun]

@chagold
ומה עם המסד נתונים?

[chagold]

@nigun מה הכוונה?

[nigun]

@chagold
כתבת שנמחק לך מידע
מה קרה עם זה?

[chagold]

@nigun זה היה אתר חדש שעמד לעלות לאויר. את המסד שנמחק לא יכולתי לשחזר, אבל היה גיבוי מלפני שבוע. ככה שהנזק לא היה בשמים. רק צריך לדאוג ללהבא.

[nigun]

@chagold
איך אתה יודע שאין לך נוזקות בגיבוי?

[chagold]

@nigun זה כתבתי לעיל שגם שמה היה litespeed, ואם כן היה כנראה איזו כניסה, ולכן אני צריך לחלץ את המסד מגיבוי + הוורדפרס לשרת נקי חדש.

[nigun]

@chagold
איך תעשה את זה?
אם אתה מעתיק את הקבצים של וורדפרס
יכול להיות שם איזה קוד זדוני שילווה אותך גם לשרת החדש.

[chagold]

א. בגדול אתה צודק, אבל אין לי הרבה ברירות.
ב. PHP לא רץ ברקע כל הזמן אלא לפי קריאה, ואני רוצה לנחש שהתקיפה אינה בקובץ PHP (שאינו רץ כל הזמן) אלא בקובץ שיכול לשבת בצד ולהמתין. ולעומת זאת וורדפרס הוא בקבצי PHP אז מקוה שלא יועתק עם זה. (ובפרט אחרי שאין להם גישה כרגע לשרת החדש).
ואם הבעיה היא מהתוספים אז בכל מקרה אין לי ברירות. רק לעדכן.

[nigun]

@chagold
יש שתי סוגי נוזקות

1. קובץ PHP שפשוט מחכה לקריאה מבחוץ
2. תוכנה נוספת שרצה בנפרד מPHP ועושה ככל העולה על רוחה

לגבי 2 לכאורה אם אתה מעתיק את הכל לשרת חדש אתה מוגן
לגבי 1 אולי יעזור לעדכן את התוספים אבל לא בטוח
כי לכאורה מספק לדחוף קובץ שלא קשור בכלל לוורדפרס
ואם אתה לא שם לב אליו, תעדכן את וורדפרס מאה פעמים, וזה לא יעזור לך.

אולי יש איזה אנטי וירוס שסורק את כל הקבצים ומוצא קבצי PHP בעיתיים.