Поиск шелла. Как?

Discussion in 'PHP' started by gold-goblin, 16 Jan 2010.

  1. gold-goblin

    gold-goblin Elder - Старейшина

    Joined:
    26 Mar 2007
    Messages:
    917
    Likes Received:
    174
    Reputations:
    3
    Выручайте... Есть проект (~50 мб скриптов) был залит шелл я его нашел (по логам) и удалил прикрыв багу через которую он был залит. Но он появляется снова и снова =(
    Значит где то есть еще шелл. Подскажите способы его нахождения... (в логах которые ведутся он не палится. Скрипты написанные не мной, да и в пыхе я слаб)
     
  2. Gifts

    Gifts Green member

    Joined:
    25 Apr 2008
    Messages:
    2,494
    Likes Received:
    807
    Reputations:
    614
    gold-goblin find /путь/до/проекта -ctime -2 Где 2 - это количество дней с обнаружения. Это покажет все измененные файлы, а дальше уже их просматривать
     
    _________________________
  3. gold-goblin

    gold-goblin Elder - Старейшина

    Joined:
    26 Mar 2007
    Messages:
    917
    Likes Received:
    174
    Reputations:
    3
    =) уже пытался... Дата создания и изменения меняется легко.....
    какие строки характерны для шелов? (к примеру системные вызовы и тд?
     
  4. gold-goblin

    gold-goblin Elder - Старейшина

    Joined:
    26 Mar 2007
    Messages:
    917
    Likes Received:
    174
    Reputations:
    3
    что-то не нравится пройди пожалуйста мимо... Я попросил помощи и надеюсь что мне помогут.
     
  5. Gifts

    Gifts Green member

    Joined:
    25 Apr 2008
    Messages:
    2,494
    Likes Received:
    807
    Reputations:
    614
    gold-goblin ctime изменить на более раннее число - не получится, это всегда будет дата последнего изменения файла/атрибутов файла
     
    _________________________
  6. gold-goblin

    gold-goblin Elder - Старейшина

    Joined:
    26 Mar 2007
    Messages:
    917
    Likes Received:
    174
    Reputations:
    3
    как так? о_О на винде (а серв виндовый реально)
     
  7. Alf0x0ns

    Alf0x0ns Member

    Joined:
    12 Jan 2010
    Messages:
    14
    Likes Received:
    5
    Reputations:
    1
    думаю...
    - маленький шелл залит к какой то файл сайта, или картинку!
    - проверь может есть изменения в .htaccess
    - посмотри в /tmp

    Скачай все файлы сайта себе на винт потом проверь всех их корректное использование $_GET,$_POST...
    Для этого можеш юзать Notepad++ там есть поиск/замена по всех в ньом открытых документах.

    Notepad++ _http://notepad-plus.sourceforge.net/ru/download.php
     
    #7 Alf0x0ns, 16 Jan 2010
    Last edited: 16 Jan 2010
  8. gold-goblin

    gold-goblin Elder - Старейшина

    Joined:
    26 Mar 2007
    Messages:
    917
    Likes Received:
    174
    Reputations:
    3
    Искать эти строки?
     
  9. Alf0x0ns

    Alf0x0ns Member

    Joined:
    12 Jan 2010
    Messages:
    14
    Likes Received:
    5
    Reputations:
    1
    сними может сидеть шелл-код, на пример формата:
    Code:
    system($_GET['cmd']);
    passthru($_GET['cmd']);
    Кстати можно права лучше выстроить, или ловить по кусочкам.
    Тоисть ставить на одну папку права, потом проверить логи, если есть опять шелл, идьом к следующий директории, ставим права опять и так дале... может так получица выловить!
     
    #9 Alf0x0ns, 16 Jan 2010
    Last edited: 16 Jan 2010
  10. gold-goblin

    gold-goblin Elder - Старейшина

    Joined:
    26 Mar 2007
    Messages:
    917
    Likes Received:
    174
    Reputations:
    3
    весь движок в 1 папке....
     
  11. LStr1ke

    LStr1ke Elder - Старейшина

    Joined:
    29 Jul 2009
    Messages:
    800
    Likes Received:
    145
    Reputations:
    73
    Скорее всего шелл просто зашифрован.
    Как говорил Gifts смотри логи, изменения файлов и их вызов.
    Возможно просто прописали код, который по требованию будет создавать шелл.
    Отследи с какого IP использовался шелл и в логах отследи к каким он обращался файлам.
    А вообще я всегда делаю проверку по md5
     
  12. suser

    suser Member

    Joined:
    30 Dec 2009
    Messages:
    35
    Likes Received:
    5
    Reputations:
    0
    тс. выкладывай двиг сюда)
     
  13. darky

    darky ♠ ♦ ♣ ♥

    Joined:
    18 May 2006
    Messages:
    1,773
    Likes Received:
    825
    Reputations:
    1,418
    eval, system, passthru, base64_encode, gzinflate, shell_exec, exec, инклуды и тд и тп
    может быть что угодно, от банального fopen или copy шелла с другого серва, до внедрения где-нибудь preg_replace с /e ...
     
    2 people like this.
  14. gold-goblin

    gold-goblin Elder - Старейшина

    Joined:
    26 Mar 2007
    Messages:
    917
    Likes Received:
    174
    Reputations:
    3
    Двиг составляет корпоративную тайну =)

    Всем спасибо шелл нашел. Причем вычислил его из-за изменения питон скрипта который вел логи =)