Подозрения на попытку взлома

[M@}{]

Приветствую!
Есть подозрения на попытку взлома сервера шаредхостинга
Зашел в /usr/local/etc и обнаружил там симлинк #php.ini > root@myhost:52331 притом вместо myhost там реальный хстнейм системы по которому можно ципанутся откуда угодно.
Не подскажете, что за зверь умудрился записать в эту диру? И что за вид атаки

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[paradox]

логи
права
и прочее изучайте
врядли на сайте есть вирусописатели
которые вам расскажут кто из них туда это записал

[M@}{]

В логах нечего необычного
А в темп воляется

Код: Выделить всё

+==================================+
|	SU CRACKER		   |
|		by CIOCAN	   |
|	()__))__________))))~      |
|	RELEASE DATE:01.07.09	   |
|				   |
+==================================+

[Mobilesfinks]

Похожее было описано при взломе сайта Apache там внедряли CGI скрипты в папки

http://www.xakep.ru/post/49304/default.asp - тут и где то по сслылкам читал описание атаки

PS во нашёл - Как был взломан Apache.org

[M@}{]

Ну не знаю похоже или не похоже, но мне не понятно как умудрились кинуть симлинк в /usr/local/etc, и что они от этого хотели поиметь изменить настройки php?

[zingel]

шел тебе залить изменив глобальные переменные похапе, а ты в следующий раз не делай никогда в жизни chmod 777 /tmp

[M@}{]

шел тебе залить изменив глобальные переменные похапе, а ты в следующий раз не делай никогда в жизни chmod 777 /tmp

Ну я так и понял что хотели сменить настройки php, а толку то,

[arkan]

ну вот вы сами то подумайте
на /usr/local/etc
есть права на запись только у рута
вот и копайте в нужном направлении
но если тот кто положил туда симлинк не дурак то максимум что вам удасться вычислить это дату редактирования или взлома так называемого
Поставьте пасы по 50-70 знаков и не парьтесь
мой начальнег на сервер никогда с первого раза зайти неможет

[princeps]

ты хоть пароли-то поменял?

[milleroff]

Код: Выделить всё

+==================================+
|	SU CRACKER		   |
|		by CIOCAN	   |
|	()__))__________))))~      |
|	RELEASE DATE:01.07.09	   |
|				   |
+==================================+

CIOCAN по молдавски это "молоток"

[Гость]

Код: Выделить всё

+==================================+
|	SU CRACKER		   |
|		by CIOCAN	   |
|	()__))__________))))~      |
|	RELEASE DATE:01.07.09	   |
|				   |
+==================================+

CIOCAN по молдавски это "молоток"

Ну этот фаил посмотрел, давно там валялся, так что не факт что переборам что-то сделали, так как пароли довольно таки сложные.
А вот как записать умудрились, и при этом не свалить весь сервер, не пойму.

[Mobilesfinks]

тут как вариант