разбор первлового бинарника

[Гость]

везет вам((
у вас даже вирусы запускаються :'(

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[hizel]

просто с кармой всё заебись

[ProFTP]

вы поакуратнее не заускайте что попало

есть пара клиентов.
у первого сайт на DLE, у второго вордпресс
оба периодически вылезают в топ с процессами perl.
занимаются таким:

я не знаю как посмотреть там исходники...

тебе нужно узнать именно что в исходниках? ты же показал что сетевая активность - отправка на 25 порт?

===

попорядку:

1) там он обфуцированый, тут говрили что через xor, к xor можно добавить еще строку (как соль) и получится что обрано увидеть исходники не получится

т.е. получиться что-то на подобе md5crypt (md5 хэш + соль)
а как тут сделано я не знаю...

2) елси ты видешь что спам отправялется, что ты хочешь увидеть в исходниках?

3) может это какая-то программа (платный скрипт), которую купил клиент твоего хостинга и поставил там? (я например не знаю)

4) есть ли жалобы что с твоего сервера спам отпраляют? если нету то какая разница...?

5) напиши клиенту что он спам отправляет...

6) закрой на исход на инициализацию все кроме 80 порта, а чтобы можно было бы 25 только от твоего smtp (ну 22 оставить и т.д.)

7) можешь закрыть на дешевых тарифных планах 80 порт и другие порты на инициализацию из сервера...
(т.е. чтобы почту брали, отправляли и конектились к 80 и все!)

это проблема того кто дырявые сайты поставил
...пускай он и исправляет...

[Alex Keda]

2 hizel
что разрешить-то, я так и не понял?
2 ProFTP
это всё понятно... но хостинг шаред - закрывать исходящие - не вариант.
думаю над лимитом в пяток соединения по пользователям - благо ipfw умеет по uid работать

[Alex Keda]

а вообще - всем спасибо.
профессиональный уровень форума прилично вырос....
не ожидал что вот быстро распилите его. да и вообще не ожидал

[ProFTP]

а что за сайты нормальные? может он взял тариф чтобы специально отправлять спам...?

...а на спам тебе кто-то жаловался уже?

[Alex Keda]

нормальные сайты. я потом у не забанил сразу же.
========
судя по логам ftp - у них пассы спёрли и выкладывают, запускают, и тут же удаляют
всё просто...

[ProFTP]

такое часто есть...
но бывает и через дырку в движке

[hizel]

файлы у меня не аттачаца!1

[ProFTP]

нормальные сайты. я потом у не забанил сразу же.
========
судя по логам ftp - у них пассы спёрли и выкладывают, запускают, и тут же удаляют
всё просто...

можешь сделать админку, если клиент хочет зайти к себе на фтп, то чтобы он зашел в админку к себе, ввел свой айпи в белый список... и чтобы разрешило коннект...!

...вирусы часто крадут пароли...

[risk94]

как найти эти скрипты? у меня нету перловки в дире для сайтов

[Alex Keda]

как найти эти скрипты? у меня нету перловки в дире для сайтов

это твой аккаунт чтоли?

[Alex Keda]

файлы у меня не аттачаца!1

а конкретней.
лучше со скрином ошибки в отдельном форуме.
========
и, помоему, у тебя были права администратора же.
если ты *.pl пытаешься прилепить - то запрет сознательный - чтоб не выполнили если путь узнают. у меня всё запрещено что выполняться может

[hizel]

а, я видимо не распарсил:

Расширение запрещено администратором.

я без расширения сувал

наветы врагов! не был никогда я администратором!1

[Alex Keda]

наветы врагов! не был никогда я администратором!1

уже есть

[ProFTP]

если ты *.pl пытаешься прилепить - то запрет сознательный - чтоб не выполнили если путь узнают. у меня всё запрещено что выполняться может

так можно же написать:

Код: Выделить всё

perl ./tttt

[Alex Keda]

ну-ка, вызови мне эту команду из браузера?

[ProFTP]

Код: Выделить всё

<?php
exec("perl ./ttt");
?>

mod_rewrite


?

[hizel]

опять вещества принимаем?

[thefree]

ок, http://pastebin.com/xJiGjqp0 искомое

правда я не понимаю зачем такие гимморои

Лис разреши аттачи та

распотроши тогда и zg то же ведь интересно ...

[Alex Keda]

судя по размеру - это тоже самое

[thefree]

да, то же самое.
нате вдруг кому то понадобится

правим бинарник место /usr/bin/perl ставим /tmp/stdin111

в stdin111 указываем куда сохранять.

[Гость]

а что у вас за бсд такие?
у меня бсд этот ELF не воспринимает)))))

[thefree]

а что у вас за бсд такие?
у меня бсд этот ELF не воспринимает)))))

Код: Выделить всё

python# uname -a
FreeBSD python 7.0-RELEASE-p11 FreeBSD 7.0-RELEASE-p11 #0: Sun Mar 22 07:08:52 UTC 2009     root@i386-builder.daemonology.net:/usr/obj/usr/src/sys/GENERIC  i386

[Гость]

))) видимо на карренте такие ELFфы не работоспособны)))