Page 2 of 3
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Mon Jul 18, 2022 5:06 pm
by admin
darkover wrote: Mon Jul 18, 2022 4:49 pm
admin wrote: Mon Jul 18, 2022 4:30 pm
те на серваке лежит сам файл с шелом на каком то из доменов?
Да, нашел в /scj/cgi -т.к. это единственная папка которая не закрыта htaccess
только не знаю когда пролили, не трогал сайты и админки вообще с конца прошлого года. Дата файла январь 22, но сам знаешь, что через touch можно все что угодно сделать. А логов нет за то время, так что сказать о том, что через смарт залили или нет, не могу, но юзер и группа файла - чисто те, что под смарт используются. Хрен знает короче, гемора прибыло ))
в home написало ж что есть левые файлы?
может это стоит сделать что б слало на емыл?
плюс если от юзера созданы = это не с веба создан файл
или настроено что веб работает от имени юзера?
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Mon Jul 18, 2022 5:22 pm
by darkover
admin wrote: Mon Jul 18, 2022 5:06 pm
darkover wrote: Mon Jul 18, 2022 4:49 pm
admin wrote: Mon Jul 18, 2022 4:30 pm
те на серваке лежит сам файл с шелом на каком то из доменов?
Да, нашел в /scj/cgi -т.к. это единственная папка которая не закрыта htaccess
только не знаю когда пролили, не трогал сайты и админки вообще с конца прошлого года. Дата файла январь 22, но сам знаешь, что через touch можно все что угодно сделать. А логов нет за то время, так что сказать о том, что через смарт залили или нет, не могу, но юзер и группа файла - чисто те, что под смарт используются. Хрен знает короче, гемора прибыло ))
в home написало ж что есть левые файлы?
может это стоит сделать что б слало на емыл?
плюс если от юзера созданы = это не с веба создан файл
или настроено что веб работает от имени юзера?
Да, в home написало, что есть левый файл, так и обнаружил.
группа www:мой_юзер, это создано с веба.
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Mon Jul 18, 2022 5:30 pm
by admin
те мой юзер в группе www?
те суть в том что cgi открыт на запись только для овнера (755)
если там появился - значит процесс был запущен от юзера
те или не 755 стояло (тогда писало бы про это)
или настроено так что юзер и www в оной группе, что конечно криво
и как всегда оставляю %% на то что я что то не понял
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Mon Jul 18, 2022 5:54 pm
by darkover
admin wrote: Mon Jul 18, 2022 5:30 pm
те мой юзер в группе www?
те суть в том что cgi открыт на запись только для овнера (755)
если там появился - значит процесс был запущен от юзера
те или не 755 стояло (тогда писало бы про это)
или настроено так что юзер и www в оной группе, что конечно криво
и как всегда оставляю %% на то что я что то не понял
вот смотрю сейчас, /scj/cgi 755
user_name:user_name
файл шела
064
www-data( nginx ):user_name
смотрю конфиг nginx, там прописано работать от www-data.
смотрю конфиг php
user = user_name
group = www-data
listen.owner = user_name
listen.group = www-data
listen.mode = 0660
Короче фиг знает
на /scj/ стоят права 0775
Если будут какие-то рекомендации, то я внимательно выслушаю, админов нет.
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Mon Jul 18, 2022 6:26 pm
by admin
если реально стояло 755 на каталоге cgi то туда мог писать только юзер
и файл создан от юзера значит и выполнялся от него
если нету $config['allow_eval'] то вариантов от скрипта выполниться нет, значит сломали какой то доступ на сервак
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Mon Jul 18, 2022 7:57 pm
by darkover
admin wrote: Mon Jul 18, 2022 6:26 pm
если реально стояло 755 на каталоге cgi то туда мог писать только юзер
и файл создан от юзера значит и выполнялся от него
если нету $config['allow_eval'] то вариантов от скрипта выполниться нет, значит сломали какой то доступ на сервак
Да стоит реально 755 на /scj/cgi и user_name:user_name, пролитый файл www-data:user_name
$config['allow_eval'] нету, не пользовался никогда вообще. Доступ до серверов только через ключи, логинов каких-то и ftp нет.
Ладно, буду искать дырку, найду отпишу.
ps смарт не обвиняю )
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Tue Jul 19, 2022 12:05 am
by Axcel
Вопрос, как правильно закрыть /scj/cgi/ htaccess-ом?
Ну и, может, по умолчанию это сделать в новых инсталлах?
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Tue Jul 19, 2022 5:09 am
by admin
darkover wrote: Mon Jul 18, 2022 7:57 pm
admin wrote: Mon Jul 18, 2022 6:26 pm
если реально стояло 755 на каталоге cgi то туда мог писать только юзер
и файл создан от юзера значит и выполнялся от него
если нету $config['allow_eval'] то вариантов от скрипта выполниться нет, значит сломали какой то доступ на сервак
Да стоит реально 755 на /scj/cgi и user_name:user_name, пролитый файл www-data:user_name
$config['allow_eval'] нету, не пользовался никогда вообще. Доступ до серверов только через ключи, логинов каких-то и ftp нет.
Ладно, буду искать дырку, найду отпишу.
ps смарт не обвиняю )
ок, если будут идеи что я могу со своей стороны добавить то дайте знать
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Tue Jul 19, 2022 5:09 am
by admin
Axcel wrote: Tue Jul 19, 2022 12:05 am
Вопрос, как правильно закрыть /scj/cgi/ htaccess-ом?
Ну и, может, по умолчанию это сделать в новых инсталлах?
закрыть от чего?
просто от всех запросов
deny from all
только не ясно чего вы хотите этим добиться ...
Re: Query w eval (debug: /*check query*/ ): UPDATE traders SET similarweb_info
Posted: Sat Jul 23, 2022 10:58 am
by Axcel
admin wrote: Mon Jul 18, 2022 2:17 pm
отлично, спасибо, это просто пытаются ломать через подскановку разного в строку поиска, если у вас в темпелйте нет вывода переменных без эскейпа то никаких проблем не будет.
если будут еще такого плана сообщения то дайте знать плз
а можно подробнее, что такое "вывода переменных без эскейпа"?
потому что ко мне сейчас такие ошибки приходят.